![是否有可能知道 javascript 运行时到底在做什么?](https://linux22.com/image/1333781/%E6%98%AF%E5%90%A6%E6%9C%89%E5%8F%AF%E8%83%BD%E7%9F%A5%E9%81%93%20javascript%20%E8%BF%90%E8%A1%8C%E6%97%B6%E5%88%B0%E5%BA%95%E5%9C%A8%E5%81%9A%E4%BB%80%E4%B9%88%EF%BC%9F.png)
我对安全风险有所了解,也知道 Javascript 可能很危险,会危及我的电脑安全,一切都很好,但是突然读到一篇文章开放Web服务计划上面说 XSS(跨站点脚本)是最常见的攻击类型,我尝试在互联网上搜索,我怎么才能知道 javascript 到底在做什么,实际上我运行 Firefox 时默认禁用了 javascript,并且只允许我信任的页面,这是 BackTrack5 R2 上的默认设置,但我想知道是否有可能知道或查看正在发生的事情
答案1
Firebug 是你的好朋友。它能让你看到所有正在进行的调用、调用所用的时间以及其他有用的信息。
答案2
值得一提的是,Javascript 在沙盒环境中运行。这意味着,在最坏的情况下,XSS 可能允许恶意网站在另一个(易受攻击的)网站的上下文中执行 Javascript,并像易受攻击的网站一样执行操作。
举例来说,如果您访问 www.youtube.com,而该网站包含来自 www.evil_side_adverts.com 的广告,并且会将您发送到 www.google.com 中的 XSS,那么 www.evil_side_adverts.com 就可以在您的机器上的 www.google.com 页面内执行 javascript,并且可以像您一样与 www.google.com 进行交互。
这意味着它可以窃取您的 cookie、代表您发出请求(但不登录)并通常做出不当行为。当浏览器或网页关闭时,XSS 结束,您的机器上不会再发生任何不良行为。
这里的关键特性是,即使您在使用的站点中受到 XSS 攻击,攻击者也无法在您的系统上运行恶意软件,也无法查看您机器上的文档或在您的桌面上安装恶意程序。
还值得一提的是,许多较新的浏览器都已采取缓解措施,以减少某些类型的 XSS 漏洞的影响。请确保您至少使用 IE9 或最新版本的 Firefox、Chrome 或 Opera,以确保您受到全面保护。