XSS注入攻击-搜索文本框
XSS注入攻击-搜索文本框
我有一个文本框，用于搜索网站内的数据。我的客户希望：
1) 在搜索框中输入任何文本并单击搜索符号。
2) 使用像“Burp”这样的 Web 代理工具将请求发送到服务器。
3) 将参数附加到脚本中：
test<~script>confirm(123)<~/script>
这里发生的情况是
敌对方输入的 XSS 脚本在没有任何输入的情况下反射到响应中。请参见下面的图片，您会有一个概念：
![enter image description here][1]
大家，如果你需要更多相关信息，请告诉我。请帮帮我，任何帮助都将不胜感激。我想从服务器端阻止攻击。
HTML 和 JS 代码：
JS 代码：
admin 更改状态以发布 2023年5月24日
关于您的代码，存在几个问题：缺乏输入验证、缺乏输出编码、行过滤器注入和缺乏对客户端/Javascript验证概念的理解。
让我们逐一讨论：
- 缺乏输入验证：所有我提到的攻击和问题都可以通过适当的输入验证来解决。我所说的“适当”是指基于“白名单”，而不是"黑名单"。您永远不应该搜寻诸如撇号或LT\GT之类的特殊字符，而应该始终以正面的“白名单”方式检查允许的值而非不允许的值，就像您在Javascript中所做的那样。这是因为攻击者总是可以聪明地规避程序员并以不同的方式编码他的攻击代码。就像其他人提到的一样，ValidateRequest做了一些输入验证，但它永远不能被视为唯一可信的解决方案，因为有绕过它的方法。请不要尝试搜索其他漏洞，例如