) {6 d9 U6 e1 o& @ s5 C 二、来自内部的跨站攻击 # O1 _. H' [5 v $ M" N7 X8 U; H, Y 寻找跨站漏洞! Q4 E( v3 j6 f
% C6 [5 X! q, k s) z 如果有代码的话比较好办，我们主要看代码里对用户输入的地方和变量有没有做长度和对”<”,”>”,”;”,”’”等字符是否做过滤。还有要注意的是对于标签的闭合，像测试QQ群跨站漏洞的时候，你在标题处输入<script>alert(‘test’)</script>，代码是不会被执行的，因为在源代码里，有其它的标签未闭合，如少了一个</script>，这个时候，你只要闭合一个</script>，代码就会执行，如：你在标题处输入</script><script>alert(‘test’)</script>，这样就可以弹出一个test的框。8 T6 A$ @, N F& k" c. A1 P, e