xss - 存储的 xss 和反射的 xss 有什么区别？

Question

我无法理解存储的 xss 和反射的 xss 之间的区别是什么。你能举个例子告诉我吗？

Answer 1

存储型 XSS 意味着一些 坚持数据(通常存储在数据库中)未在页面中进行清理，这意味着每个人都可能受到该漏洞的影响。例如，想象一个论坛，其中用户发布的答案没有被转义。如果有人发布一个带有一些 HTML 的主题，那么访问该主题页面的每个人都会受到影响!风险通常很重要，因为它会影响所有用户并且可以迅速传播(一个典型的例子是 Myspace XSS worm，它在 20 小时内影响了 100 万用户)。
相反，反射型 XSS 是指非持久性数据(一般是客户端通过表单提交提供的数据)不会被转义。例如，想象一个搜索引擎，在结果列表页面中，您的搜索关键字被重新显示(而不是净化)。然后，您可以将 html 放在您的研究中，它将被执行。虽然这个漏洞的风险不太明显，因为它只影响进行注入(inject)的用户，它也可能是一个问题。例如，如果恶意用户向受害者发送了一个带有注入(inject)的链接，而受害者点击了该链接。