OWASP - XSS

by Chess

網頁組成

HTML

JavaScript

CSS

骨頭

肌肉

衣服

身份辨識

Session & Cookie

Session Cookie
存在Server端 存在你的電腦裡
安全性相對高 安全性相

HTML是什麼?

Hyper

Text

Markup

Language

超文件標記語言

基本語法

<!DOCTYPE html>

<html>
    <head>
	<title>NISRA</title>
    </head>
    <body>
        <!-- 我是註解~~~ -->
    </body>
</html>

常用的標籤

網頁超連結
<a href="http://www.nisra.net/">NISRA</a>

圖片
<img src="https://cimg.applefile.com/2018/07/15/cnVkZm9hcGZoZF8xNTMxNjQzOTc0.jpg" alt="血小板">

試試看寫個網頁出來吧

JavaScript是什麼?

  • 一種直譯式語言

  • 可直接寫入HTML語法中

用處

  • 對瀏覽器事件做出回應

  • 在資料被提交到伺服器前做驗證

  • 檢查訪客瀏覽器資訊

  • 控制Cookie的建立及修改

試試看用一張圖片來觸發JavaScript吧~

網址也可以觸發JavaScript喔!!!

XSS是什麼?

跨網站腳本攻擊

Cross

Site

Script

跨網站腳本攻擊

Cross

Site

Script

Xross ???

攻擊類型

  • Reflected

  • Stored

  • DOM-Based

攻擊效果

  • 提權

  • 取得機敏資料

  • 使用者的Cookie或Session

It's Your Turn!

練習網站

Lv. 1

Hint :

試試看有沒有最基本的插入語法

Lv. 2

Hint :

留言板可以放什麼檔案呢

Lv. 3

Hint :

點圖片注意看網址

Lv. 4

Hint :

去

--> Timer.html <--

挖寶

Lv. 5

Hint :

網址網址網址

可以幹嘛

Lv. 6

Hint :

從外部導入Javascript

如何防範XSS?

  • 不信任使用者輸入的資料

  • 將有可能注入的特殊符號encoding

The End

Made with Slides.com