在web开发中你不得不注意的安全验证问题#2-XSS

2022-10-09 14:16:19

前言

XSS又叫CSS (Cross Site Script) ,跨站脚本攻击。恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。

环境准备

和前几次一样，还是用PHP来做演示吧。因为XSS的产生是伴随着输入和输出的，所以自己随便写了个留言板的小应用。可能写的不是很完善，只是提供测试使用而已。

留言板代码（有兴趣的可以测试）

index.html

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en">
<head>
	<meta http-equiv="Content-Type" content="text/html;charset=UTF-8">
	<title>Document</title>
</head>
<body>
	<form action="add.php" method="POST"> 
		用户:<input type="text" name="name" /><br> 
		内容:<input name="content"/><br /> 
		<input type="submit" value="提交" /> 
	</form> 
</body>
</html>

提交到接收页面add.php

<?php 

	$conn=mysql_connect('localhost','root','') or die("数据库连接失败");
	mysql_query("set names gb2312");
	mysql_select_db("mytest");

	$name=$_POST['name'];
	$content=$_POST['content'];
	$sql="INSERT INTO message(id,NAME,content) VALUES ('','".$name."','".$content."')";
	var_dump($sql);
	if(mysql_query($sql)){
		echo "留言成功"; 
	}
	

?>

显示留言的show.php

<?php 
	$conn=mysql_connect('localhost','root','wzw123') or die("数据库连接失败");
	mysql_query("set names gb2312");
	mysql_select_db("mytest");

	$sql="select * from message order by id desc";
	$result=mysql_query($sql);
	while ($all=mysql_fetch_array($result)) {
		
		echo $all['id']."==>".$all['name']."==>".$all['content'];
		
		echo "<hr>";
	}

 ?>

因为是测试，所以代码写的有点无厘头。见谅见谅，凑合看。

这是输出的留言内容，没做任何美化。唉，不要在意细节，嘿嘿