特定のXSS攻撃のベクトルについての説明が必要

私の教員がXSS-edを持っているため、私の学校のウェブサイトがハッキングされています。だから私は、誰もがどのようにこのベクトルの作品を私に説明でき、このXSS攻撃ベクトル特定のXSS攻撃のベクトルについての説明が必要

<img src="<img src=search"/onerror=alert("Xss")//">

を使用している攻撃者を発見し、そしてどのようにさらにXSS攻撃に対する私のセットアップ私のサイトをお勧めします。なぜimgタグ内にimgがありますか？ありがとう...

単純に、彼は自分のsrcタグを終了して、自分のonerrorハンドラを挿入しています。イメージをロードできないときにonerrorが呼び出されます。これがすべてのユーザーの入力を逃れるのを防ぐことができます - すべてのユーザーがサイトをハックしようとしていることを期待してください。 PHPで

、あなたが使用してこれを行うことができます：

strip_tags($_POST['val']):

2011-12-24 21:22:23 Zar

いいえ、strip_tags（）多くの場合、XSSの文脈に依存しているため、問題を解決するdoesntの。 owasp xss防止チートシートを参照してください。 HTML属性のxssはタグなしで動作します。 – Erlend

はい、私はJavascriptのイベントとHTMLを知っているが、img内部のimgは、Erlend、OWASPの素晴らしい情報源に感謝しています。 –

答えて