Java代码审计-XSS审计
💡
原文中文，约3800字，阅读约需9分钟。
📝
内容提要
本文介绍了XSS漏洞的概念和分类，包括反射型XSS和存储型XSS。同时提供了挖掘和修复XSS漏洞的方法，如输入过滤、输出转义、开启JS开发框架的XSS防护功能、设置HttpOnly等。
🎯
关键要点
- XSS是跨站脚本攻击的缩写，是一种针对网站应用程序的安全漏洞攻击技术。
- XSS漏洞允许攻击者在网页中嵌入恶意客户端脚本，若未对用户输入或输出进行过滤或转义，可能导致漏洞。
- 反射型XSS通过外部输入直接在浏览器端触发，攻击者需发送篡改链接给用户，用户访问后执行恶意脚本。
- 存储型XSS需要将恶意代码保存在数据库或文件中，Web程序读取并输出时执行，攻击行为持续存在。
- 挖掘存储型XSS漏洞时需寻找输入点与输出点，可能不在同一业务流中。
- DOM型XSS基于文档对象模型，发生在客户端处理数据阶段，不需要与服务器交互。
- XSS漏洞修复方法包括输入过滤、输出转义、开启JS开发框架的XSS防护、设置HttpOnly等。
➡️
