web安全原理

一.sql注入

1.1注入基础

1.2注入进阶

1.2.1 时间注入

1.2.2 堆叠查询

1.2.3 二次注入

1.2.4 宽字节注入

1.2.5 cookie注入

1.2.6 base64注入

1.2.7 XFF注入

1.3注入绕过

大小写，双写，编码，内联注释

修复建议：

1、过滤。
2、使用预编译语句。

二.XSS（跨站脚本攻击）

跨站脚本攻击，代码注入的一种。

2.1xss基础

三种：
1.反射性。 一次性，包含XSS代码的恶意链接发给用户。
2.存储型。 多见于论坛，博客。
3.DOM形 特殊类型的反射性XSS。在客户端交互页面中，html标签节点。

2.1xss进阶

常用语句及编码绕过

常见的xss绕过编码有JS编码，HTML实体编码和URL编码

JS编码：三个八进制，两个十六进制，四个十六进制。如果个数不够，在前面补0.

HTML实体编码：
1.命名实体：以&开头，以分号结尾。
2 .字符编码：十进制、十六进制ASCII码或Unicode字符编码。