关于使用accesskey进行xss攻击的总结

最新推荐文章于 2023-10-27 18:30:00 发布

快递小哥大琦

最新推荐文章于 2023-10-27 18:30:00 发布

阅读量1.7k

点赞数

CC 4.0 BY-SA版权

分类专栏： web安全文章标签： web安全 xss

本文链接：https://blog.youkuaiyun.com/gc_msc/article/details/82424719

web安全专栏收录该内容

2 篇文章

订阅专栏

在一些文章中，对于hidden的元素进行xss攻击时，提到可以使用accesskey的方式进行。

根据实践，我使用了三个浏览器：

chrome 68

firefox 61

IE 11

结果为：IE和chrome不支持hidden的accesskey，准确的说可能是不支持相关onfocus或者onclick事件，firefox支持

当快捷键相同时：

chrome激活最后一个元素，

IE和firefox激活下一个元素，或者说是当前焦点所在元素的下一个元素

当快捷键相同的元素中包含hidden时，hidden元素默认为第一个元素：

chrome可触发最后一个元素，但hidden无法触发

firefox遇到下一个元素为hidden时，则无法触发hidden，同时，也不会继续往下执行快捷键

IE不受影响，会跳过hidden元素执行

求指教

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

快递小哥大琦

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

专栏目录

什么是跨站脚本（XSS）攻击？

简介

01-04

2288

这一次，教会xss攻击！！！！！！！

客户端安全之跨站脚本(XSS)

好记性不如烂笔头

10-14

951

1. 什么是XSS？ 2. XSS的原理 3. XSS的分类 3.1 反射型XSS 恶意脚本是来自当前的request，这类XSS称为反射型XSS，下面是个简单的例子。 https://insecure-website.com/status?message=All+is+well. <p>Status: All is well.</p> 应用并没有对数据做任何处理，这样，就可以构造攻击，如下： https://insecure-website.com/status?messag

参与评论您还未登录，请先登录后发表或查看评论

accesskey的使用

yongyonglsy的专栏

06-12

427

<html> <bodybgcolor="#FFFFFF" text="#000000"> <formid="form1" method="post" action=""enctype="multipart/form-data"> <labelfor=inpu1 ACCESSKEY=

AcessKey的使用

ξσ Dicky's Blog σξ

04-09

1522

标识有两个属性，一个是FOR，一个是ACCESSKEY。FOR的意思是，这个Lable是为哪个元件服务的？而ACCESSKEY则定义了访问这个元件的热键。比如，我们有一个名字叫Name的单行输入框，我们是这样定义这个元件的：，那么，我们的可以如此定义：姓　　名（N）：。大家可以看见，这个是为那个ID为“Name”元件服务的，而ACESSKEY则定义了，这访问这个元件的热键为“Alt+N”。代码如

Hidden属性的input标签中XSS的触发方法

热门推荐

CC's Blog

03-31

1万+

今天看到一个XSS漏洞，插入点在一个有hidden 属性的input 标签，大致情况如下：<input type="hidden" name="returnurl" value="[USER INJECT]" />正常情况下的XSS应当是： http://victim/?value=” onclick=”alert(document.domain) 但是这里由于该input 未在页面中显示，常用

阿里云accesskey利用工具 - aliyun-accesskey-Tools

千寻的博客

08-30

3742

此工具用于查询ALIYUN_ACCESSKEY的主机，并且远程执行命令

accesskey属性：激活元素快捷键（Alt+）

qq_43303896的博客

08-02

804

accesskey属性: 当HTML页面有多个元素时，可以通过accesskey属性指定激活该元素的快捷键，这样用户通过键盘快捷键就可以激活对应的HTML元素。下面示范accesskey属性的作用：用户名（n)：<input name="" type=" text" accesskey="n"><br/> 密码(p)：<input name="...

跨站脚本攻击（XSS）

凉茶铺的博客

07-26

6134

XSS，为不和层叠样式表(CascadingStyleSheets,CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。在一开始的时候，这种攻击的演示案例是跨域的，所以叫"跨站脚本"。但是发展到今天，由于JavaScript的强大功能基于网站前端应用的复杂化，是否跨域已经不再重要。但是由于历史原因，XSS这个名字一直保留下来。（2）页面展示...

XSS攻击-xss-lab（1-10）详细讲解

qq_43395215的博客

05-06

9438

xss概述 XSS，全称跨站脚本，XSS跨站脚本（Cross-Site Scripting，XSS（与css-层叠样式表冲突，所以命名为xss）），某种意义上也是一种注入攻击，是指攻击者在页面中注入恶意的脚本代码，当受害者访问该页面时，恶意代码会在其浏览器上执行，需要注意的是，XSS不仅仅扩展JavaScript，还包括flash等其他脚本语言。根据恶意代码是否存储在服务器中，XSS可以分为存...

XSS攻击与利用

MSB_WLAQ的博客

10-11

656

前言本文叙述了反射型、存储型XSS的探测方法和简单的利用方式，其中会涉及到jQuery和vue。这篇文章作为个人笔记，因此内容可能并不全面，日后有接触新的方法会有补充。探测方法寻找xss需要查看网站源码，跟踪用户输入的变量，检查变量传递过程是否能够触发漏洞，过滤是否能绕过，现在的网站为了安全不会在标签处通过事件直接引用js function，而是在另外的js文件中通过框架找到元素再跟事件函数绑定，例如jQuery的选择器：$("input").on(change:function(){ale

WEB漏洞篇——跨站脚本攻击（XSS）

m0_56634355的博客

06-05

4930

目录一、XSS简述1.1 什么是XSS1.2 XSS分类1.3 DOM XSS漏洞演示二、XSS攻击进阶2.1 初探XSS Payload2.2 强大的XSS Payload2.3 XSS攻击平台2.4 XSS Worm2.5 XSS构造技巧2.6 反射型XSS利用技巧-回旋镖2.7 Flash XSS2.8 JavaScript开放框架三、XSS防御3.1 HttpOnly3.2 输入检查3.3 输出检查3.4 正确地防御XSS3.5 处理富文本3.6 防御DOM Based XSS四、总结XSS攻击是指

html5 accesskey

sunlizhen的专栏

06-19

1619

accesskey=“任意键”；用Accesskey属性指定键盘上的键用于代表快捷键，即：热键。触发是alt+设定的键；当单击键盘上的快捷键（热键）时，光标就会跳到该当元素。或者按下快捷键（热键）执行定义的命令。 HTML5z中的accesskey属性可以设定多个候补热键（优先使用前面的热键）。定义多个候补热键（快捷键）时，热键之间用半角逗号分隔。 html> html lang="e

accesskey属性显示“快捷键清单”

weixin_33749242的博客

11-22

197

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 <!DOCTYPEhtml> <htmllang="en"> <head> <metacharset="utf-8"> <title>ExplainingtheDdoc...

xss-labs

2201_75316477的博客

10-27

155

XSS

XSS（Cross Site Scripting）跨站脚本攻击

Eason_LYC安全白帽子的成长博客

05-13

3301

XSS最为全面的知识点梳理总结，并有公开靶场配合知识点练习。含金量十成十

HTML tabIndex 和 accesskey属性

weixin_34327761的博客

01-08

184

tabindex 目前浏览器支持性较好，经测试IE6-8、Firefox、Chrome都支持。 HTML tabIndex 属性 HTML tabIndex 属性 HTML DOM tabIndex 属性示例 tabindex 定义了accesskey的链接或表单元素可以使用快捷键(ALT+字母)访问。但各种浏览器下accesskey快捷键的使用方法并不相同： I...

《WEB安全漏洞30讲》（第3讲）XSS漏洞

午夜安全

12-04

675

XSS（Cross-site Scripting）跨站脚本，它是代码注入的一种，指的是攻击者在页面注入恶意的脚本代码，其他用户在浏览网页时就会受到影响。恶意用户利用XSS代码攻击成功后，可以盗取用户的Cookie，获取用户的网页内容、破坏页面结构、重定向到其它网站等。XSS一般可以分为：反射型、存储型和DOM 型XSS。反射型XSS又称非持久型XSS，这种方式往往具有一次性。攻击者需要想办法将包含XSS代码的恶意链接发送给目标用户并且诱惑用户点击该链接，当用户点击后会向服务器发送请求，服务器接收到请求后把

不可见（hidden）input标签触发XSS

weixin_33963594的博客

12-29

1291

在寻找XSS的过程中，会发现从POST或者URL中参数拿到INPUT中存放，但这些input都是hidden不可见的，通过F12调试，查看构造出来的代码确实存在点击事件，但是总是触发不了通过网上查询资料，最总找到使用一个比较高级一点属性accesskey=""来触发不可见标签事件,accesskey是HTML语言标签中的一个全局属性 <input type="hidden" name="...

edusrc漏洞xss

最新发布

03-21

### 关于 Edusrc 平台或系统中的 XSS 漏洞修复方案 #### 背景概述跨站脚本攻击 (Cross-Site Scripting, XSS) 是一种常见的安全漏洞，允许攻击者通过注入恶意脚本来窃取敏感数据、劫持用户会话或执行其他有害操作。在 Edusrc 平台或其他类似的 Web 应用程序中，XSS 的存在可能源于输入验证不足或输出编码不当。 #### 解决方案分析为了有效应对 XSS 攻击，在开发阶段应采取以下措施： 1. **输入验证与过滤** 对所有来自用户的输入进行严格的验证和清理，确保只接受预期的数据格式。例如，对于表单字段的内容，可以使用正则表达式来匹配合法字符集[^3]。 2. **上下文感知的输出编码** 根据目标环境的不同（HTML、JavaScript、CSS 等），应用相应的转义机制以防止特殊字符被解释为代码片段。以下是几个常见场景下的处理方式： - HTML 上下文中，将 `<` 和 `>` 替换为其对应的实体形式 (`<`, `>`)； - JavaScript 字符串内嵌入时，则需额外注意反斜杠 `\` 及引号 `"'"` 的转义[^4]。 3. **HTTP 响应头配置优化** 利用现代浏览器的安全特性增强防护能力。具体做法包括但不限于设置 Content Security Policy (CSP)，从而限制可加载资源的位置以及动态脚本的执行权限；启用 X-XSS-Protection 头部进一步激活内置防御功能[^1]。 4. **定期审计源码质量** 针对已部署的应用持续开展静态分析扫描工作，及时发现潜在风险点并予以修正。同时鼓励内部团队成员遵循最佳实践编写健壮可靠的代码逻辑结构。下面给出一段 Python 实现简单 Cookie 注入检测的例子作为参考： ```python import re def sanitize_input(user_data): """Sanitize user input to prevent XSS.""" sanitized = re.sub(r'[<>&]', '', user_data) # Remove dangerous characters return sanitized def set_secure_cookie(response, key, value): """Set a secure cookie with proper flags.""" response.set_cookie( key=key, value=sanitize_input(value), httponly=True, # Prevent client-side access via JS samesite='Strict' # Mitigate CSRF attacks ) ``` #### 总结说明上述方法综合考虑了前端展示层面上的风险规避策略以及后台服务端层面的技术实现细节，能够较为全面地覆盖大部分实际应用场景下的需求。当然，随着技术的发展进步，还需不断学习吸收新的理念和技术手段加以改进完善。