APPSCAN漏洞公告-华克斯-APPSCAN

appscan 常见的漏洞概述

3、跨站点---攻击xss

1定义

指利用网站漏洞从用户那里e意信息。简单理解，appscan，就是用户输入中可加入js等破坏性的代码，而程序没有进行过滤，还执行了这些代码，达到了e意攻击的目的。

2分类

主要有存储型、反射型和dom基于文档对象模型三种类型。

存储型：工击的数据会保存到数据库，一般存在于t的写请求或者get的写请求，例子：例如接口请求参数修改为;;alert(124);，appscan漏洞公告，如果存在漏洞，则会存入数据库，每次页面加载，appscan修复建议，都会执行一次

反射型：工击的数据，不存在数据库，属于---的，appscan购买价格，用完一次就没了，一般在get请求参数中构造，与存储型的危害差别不大，例子：例子：直接在前端找到元素，修改为;;alert(124);之后，如果弹出执行窗口，就证明存在漏洞

三者的区别：

存储型和反射型的区别在于：是否存了数据库；

存储型/反射型与dom的区别在于：是否访问了服务端。

3风险分析

可能会或---客户会话和 cookie，它们可能用于模仿---用户，从而使hacker能够以该用户身份查看或变更用户记录以及执行事务。

4修---式

使用过滤器，对用户输入执行危险字符清理