wang_guo_qiang

浏览: 113424 次
性别:
来自: 青岛

最近访客更多访客>>

lzj89566062

henri001

luoyifan

changlian0713

博主相关

博客

微博

相册

留言

关于我

文章分类

社区版块

存档分类

浅谈javascript函数劫持

博客分类：

javascript基础 link

JavaScript 网络应用脚本 Security HTML

浅谈javascript函数劫持

引用：http://security.ctocio.com.cn/tips/337/7716837.shtml

作者: luoluo, 　出处:Xfocus,　责任编辑: 张帅,　

2007-12-13 14:14

下面是具体内容：

　　映象劫持技术对网络安全威胁巨大，这里我们将主要讨论javascript劫持，攻击者是如何利用javascript实现脚本劫持的呢？浅谈javascript函数劫持，希望对用户有所帮助……

　　一、概述

　　Javascript函数劫持，也就是老外提到的Javascript hijacking技术。最早还是和剑心同学讨论问题时偶然看到的一段代码，大概这样写的：

window.alert = function(s) {};

　　觉得这种用法很巧妙新颖，和API Hook异曲同工，索性称之为Javascript function hook，也就是函数劫持。通过替换js函数的实现来达到劫持这个函数调用的目的，一个完整的hook alert函数例子如下：

<script type="text/javascript">

</script>
<html>
<body>
<input type="button" onclick="javascript: alert('Hello World!')" value="test" />
</body>
</html>

　　搞过API Hook的同学们看到这个代码一定会心的一笑，先保存原函数实现，然后替换为我们自己的函数实现，添加我们自己的处理逻辑后最终再调用原来的函数实现，这样这个alert函数就被我们劫持了。原理非常简单，下面举些典型的应用来看看我们能利用它来做些什么。

二、应用举例

　　1. 实现一个简易的Javascript debugger，这里说是debugger比较标题党，其实只是有点类似于debugger的功能，主要利用js函数劫持来实现函数的break point

2. 设置陷阱实时捕捉跨站测试者，搞跨站的人总习惯用alert来确认是否存在跨站，如果你要监控是否有人在测试你的网站xss的话，可以在你要监控的页面里hook alert函数

分享到：

Unity DI 容器 1.0 发布了 | javascript中setTimeout和setInterval函数 ...

2008-04-02 13:41
浏览 1273
评论(0)
查看更多

发表评论

您还没有登录,请您登录后再发表评论

最近访客更多访客>>

博主相关

文章分类

社区版块

存档分类

最新评论

浅谈javascript函数劫持

浅谈javascript函数劫持

映象劫持技术对网络安全威胁巨大，这里我们将主要讨论javascript劫持，攻击者是如何利用javascript实现脚本劫持的呢？浅谈javascript函数劫持，希望对用户有所帮助……

评论

发表评论

相关推荐

最近访客 更多访客>>

博主相关

文章分类

社区版块

存档分类

最新评论

浅谈javascript函数劫持

浅谈javascript函数劫持

映象劫持技术对网络安全威胁巨大，这里我们将主要讨论javascript劫持，攻击者是如何利用javascript实现脚本劫持的呢？浅谈javascript函数劫持，希望对用户有所帮助……

评论

发表评论

相关推荐

最近访客更多访客>>

　　映象劫持技术对网络安全威胁巨大，这里我们将主要讨论javascript劫持，攻击者是如何利用javascript实现脚本劫持的呢？浅谈javascript函数劫持，希望对用户有所帮助……