最近刚出了新闻，阿里四名网络安全部门员工利用网页漏洞写js脚本抢月饼，于是兴致来了，想了解一下这个js脚本到底怎么写，各种刷单各种抢枪抢又是怎么实现的。
什么是javascript注入攻击？
1.每当接受用户输入的内容并重新显示这些内容时，网站就很容易遭受 JavaScript 注入攻击。让我们研究一个容易遭受 JavaScript 注入攻击的具体应用程序。假设已经创建了一个客户反馈网站。客户可以访问网站并输入对产品的反馈信息。当客户提交反馈时，反馈信息重新显示在反馈页面上。 客户反馈网站是一个简单的网站。不幸的是，此网站容易遭受 JavaScript 注入攻击。 假设正在将以下文本输入到客户反馈表单中：
alert(“Attack!”)
此文本表示显示警告消息框的 JavaScript 脚本。在某人将此脚本提交到客户反馈表单后，消息Attack! 会在将来任何人访问客户反馈网站时显示。
2.还有一种就是在浏览器地址栏中输入一段js代码，用来改变页面js变量、页面标签的内容。
使用Javascript注入，用户不需要关闭或保存网页就可以改变其内容，这是在浏览器的地址栏上完成的。命令的语法如下：
例如，如果你想在站点上看到一个alert警告框，那么首先在地址栏上输入URL并等待页面加载完成，然后删掉URL并输入：
作为新的URL。这将弹出一个“Hello World”警告框，使用这一技术几乎可以改变网页的任何内容，例如一张图片。假设有一张网站logo图片，我们通过查看页面源文件找到其中一段HTML代码： 图片被命名为“hi”，源文件是“hello.gif”，我们想要把它改成存储在我们站点（http://www.mysite.com）上的 “bye.jpeg”文件，因此图片完整的URL地址是http://www.mysite.com/bye.jpeg，使用Javascript注入， 我们只需要在地址栏上输入：
你将会看到弹出“http://www.mysite.com/bye.jpeg”alert警告，然后图片就被更改了。需要注意的是，这些更改只是暂时的！如果你刷新页面或者重新进入，你的更改将会消失，因为你只是在你的PC作了这些更改，而不是在网页服务器上。
使用同样的方法我们可以查看或更改变量的值，例如我们在网页上找到一段这样的代码： 方法二：
除了在视图中显示数据时使用 HTML 编码数据，还可以在将数据提交到数据库之前使用 HTML 编码数据。
前台提交的数据");
通常，人们喜欢使用本教程中讨论的第一种方法，而不喜欢使用第二种方法。第二种方法的问题在于在数据库中最终会保留 HTML 编码的数据。换言之，数据库中的数据会包含奇怪的字符。这有什么坏处呢？如果需要用除网页以外的形式显示数据库数据，则将遇到问题。例如，不能轻易在 Windows Forms 应用程序中显示数据。
感谢网友分享：
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持编程之家。 版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。
