什么是XSS攻击？为什么不能点击陌生的链接？

SS 是跨站脚本攻击的（Cross Site Scripting）的简称，为了不跟CSS样式混淆，所以被称为是XSS。也就是网络攻击者往Web页面中注入的一些包含恶意信息的Script脚本代码。当用户正常访问到该网页的时候，这段恶意代码就会执行，最终达到恶意攻击的目的。

XSS演示

我们知道在很多网站中，都有富文本编辑器的存在，而在富文本编辑器中添加内容之后，在后端接收到的文档内容是一串HTML的代码。在正常情况下，用户使用的时候并不会出现问题。但是，如果在这个内容中添加了一段如下的代码。

<script>alert("恶意攻击！")</script>

那么最终在文档中存储的内容，就是如下的一段代码

<html>
    <head>
       <title>Board</title>
    </head>
    <body>
    <div id="board">
        <script>alert("恶意攻击！")</script>
    </div>     
    </body>
</html>

当然这里只是一段演示代码，真实场景中的内容可能要比这个包含的更多，那么这个时候问题就来了。

我们知道浏览器对于HTML代码是解释性的运行，当浏览器解释到用户输入的这段代码之后，会发生什么事情呢？因为浏览器并不知道用户想要显示的这段代码只是显示功能，而并不知道如何去显示，所以浏览器就会将这段代码解释出来，也就是说浏览器中会出现一个弹框。

既然这段代码是可以被执行的，那么下面这两种情况也就很容易就执行了。

连接劫持

也就是，说当我们进入页面的时候执行到如下的代码就会默认跳转到百度的首页上。当然这个连接也可以是其他的链接。

<script>window.location.href="http://www.baidu.com";</script>

盗取Cookie

可以使用如下的脚步来获取到网页的Cookie值。

<script>alert("document.cookie");</script>

对于攻击者来说，它可以任意的编写恶意代码对网站进行攻击，也就是将恶意代码注入到网站中。这种攻击行为就被称为XSS。

XSS分类

一般的XSS攻击可以分为如下三种情况

反射型的XSS攻击
存储型的XSS攻击
DOM型的XSS攻击

当然这个只是一个简单的攻击方式定义，实际情况下要比这些情况更加复杂。

反射型攻击

什么是反射型攻击？攻击者通过，一些邮件或者是短信的方式发送连接给受害者，再配合一些短连接，诱导用户点击，用户点击之后，获取到很多的用户信息。

如下图所示，是一个典型的反射型的XSS攻击，通过恶意的文本，从受害者电脑上发送请求到网站中，网站响应恶意代码或者是程序到受害者的电脑上，最终就可以攻击到受害者的电脑。

存储型XSS攻击

这种攻击方式，会将恶意攻击的代码存储到数据库中，例如在发布评论，或者是发布一些文本内容的时候，将恶意代码添加到内容之中，应用没有将这些恶意代码校验出来，这个时候当其他用户访问的时候，就会受到攻击，由于是正常的评论操作，所以对于其他用户来说的话基本上是无感知的，所以攻击范围比较大。

DOM型的XSS攻击

其实DOM型攻击是反射型攻击的变体，在用户进行正常访问页面的时候都是可以正常访问的。而攻击代码就藏在这些可以正常访问的页面中。通过页面弹窗，广告等操作。诱导用户进行操作最终取得很多其他用户信息。例如有些时候在浏览器中会有一些弹窗广告，用户点击关闭广告的按钮的时候发现根本点击不了，这个时候就是这种情况。

XSS攻击的危害

通过document.cookie获取到用户的cookie值
使用JS脚本攻击网站，破坏网站正常运行
异常流量攻击，通过window.location.href 将页面引入到其他页面中
Dos攻击，利用非法请求发送Dos攻击，导致服务器不可用。
利用iframe，frame，等方式来模拟用户发送一些管理性的命令，导致用户信息泄露等问题。
利用被攻击的域名以及一些其他的授信来源完成刷票等操作。
钓鱼攻击，高级钓鱼攻击用户。
使用Web劫持，攻击渗透到内网进行破坏。
刷广告，刷流量，破坏数据等

言：

相信各位小伙伴们平时在抖音也看过一些VB或者JS脚本写的恶作剧代码，没错，今天小编就是想搞事情，利用JavaScript实现关不掉的对话框,很好玩的哦，还可以发给别人不报毒（没错，这很关键！）好了，下面我们一起来看一下怎么做的吧~

第一步：

双击我的电脑->组织->文件夹及搜索选项->查看

如果你的是打钩的就把√去掉

第二步：

在桌面右键->新建->文本文档

第三步：

双击文本文档，键入：

<html>

<head>

<title>网页恶搞程序，关不掉的弹出框</title>

</head>

<body>

<input type=button value="点我之前要有心理准备哦，我是永远也不关不完的对话框！"

onClick="var e=1;

while(1==1)

{alert('温馨提示：这个对话框是关不掉的！')

alert('不信那你继续点！')

alert('那你继续点！')

alert('继续点！')

alert('续点！')

alert('点！')

}">

<br />

</body>

</html>

如不能显示效果，请按Ctrl+F5刷新本页！</a></div>

划重点：你只需要增加alert行或者改动里面的文字就可以表达出自己想要的东西了！

例如：我在 alert('点！') 后面加一行alert('请关注Hello源代码')然后这个死循环对话框里面就会多出这一行了

第四步：

改一个能吸引别人打开的名字，并且把后缀改成html（右键->重命名）

like this

对了。如果是IE打开的话底层会有个阻止弹窗，允许就可以了

第五步：

轻轻点一下这个butto：

然后，就像这样：

当然，我前面注释中也提到了，利用任务管理器就可以关掉了~

总结：

话说我呀，总算干点正事了，不然我这文章就跟这名字对不上号了~好了，老规矩，喜欢点赞关注哦~还有，成功的小伙伴请评论分享喜悦的心情，嘻嘻~

预祝大家国庆长假玩得开心~

上搜索资料时，某些网页的内容，只是想要复制一些文字，就会弹窗提示付费或者登陆会员。本文小编，分享突破网页限制复制网页内容的方法。

现象：如下图所示，某个网站复制简单的文字内容时，弹出登陆窗口。但是，为了几个字就注册登录账号，有些不必要。

本文分享跳过网页复制限制的方法，实现网页内容复制。

方法一：

可以调出网页源代码定位后进行复制，大部分网站，可以右键检查元素，快速地位。有些网站禁止了鼠标右键元素检查功能的，可以右键查看源文件。也可以通过F12调出元素检查窗口。

方法二：

通过关闭浏览器JS功能，突破和跳过网页复制限制，进行网页内容复制

搜狗浏览器禁用JS的操作方法

1、首先打开搜狗浏览器，在浏览器右上方可以看到一个由三条横线组成的“显示菜单”图标，使用鼠标点击该图标。

2、点击之后下方会弹出一个菜单窗口，在窗口底部找到并点击“选项”。

3、进入搜狗浏览器的设置页面中后，点击左侧的安全设置，然后点击下图红框所示的【内容设置】。

4、弹出内容设置页面后，在Javascript项目下，选择不允许所有网站运行JavaScript，然后点击完成。

5、完成以上操作后，刷新目标网站后，再进行复制操作，就可以成功复制内容了。

在线咨询

上一篇：有价值的网站建设文案怎么编写
下一篇：JavaScript let 和 const的区别，

您的项目需求

*请认真填写需求信息，我们会在24小时内与您取得联系。

整合营销服务商