请高手帮我看看。我这段代码里有漏洞吗..我扫描时老是提醒Exist XSS

2008-12-08 11:11:54 100 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

DVWA靶场实战：存储型XSS攻防原理与代码级防御解析跨站脚本攻击（XSS）是Web安全领域的核心漏洞类型之一，其本质是攻击者将恶意脚本注入到网页中，当其他用户访问时浏览器会执行这些脚本。从技术原理上看，XSS漏洞源于Web应用对用户输入数据的不当处理，尤其是在数据输出到HTML页面时未进行正确的编码或过滤。存储型XSS作为危害最持久的一种，恶意脚本会被保存在服务器数据库或文件系统中，导致所有访问受影响页面的用户持续遭受攻击，其技术价值在于揭示了数据流经“输入-存储-输出”全链路的安全风险。在应用场景上，留言板、用户评论、个人资料等用户可控内容持久化展示的功能阅读详情

<%
dim keyword
keyword=trim(request("keyword"))
if instr(keyword,";") or instr(keyword,"and") or instr(keyword,"start") or instr(keyword,"select")or instr(keyword,"%") then
response.write "对不起，不能搜索!"
end if
%>

<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312" />
<title>xx</title>
<META NAME="ROBOTS" content="ALL">
</head>
<body>

<%
keyword=trim(request("keyword"))
user_pro=clng(trim(request("user_pro")))
unit_type=clng(trim(request("unit_type")))
page=clng(trim(request("page")))
%>
<div class="clr"></div>
<div id="users_d">
<div id="users_d_left">
<%
dim strSql,rs
strSql="select * from [user] where "
if user_pro<>"" then strSql=strSql & " user_pro='" & user_pro & "' and"
if unit_type<>"" then strSql=strSql & " unit_type='" & unit_type & "' and"
strSql=strSql & " unit_name like '%" & keyword & "%' order by reg_time desc"
.
.
..
...

<form action="user_sch.asp" method="post" name="pageform">
<input type="hidden" name="keyword" value="<%= keyword %>" />
<input type="hidden" name="user_pro" value="<%= user_pro %>" />
<input type="hidden" name="page" />
共有[<b><%= totalrec %></b>]条记录，<%= page %>/<%= rs.pageCount %>页。
.
.
.
.
.
</form>
<%
else
response.Write "<br><br><br><br><br> <font color=red>对不起，没有搜索到您要 </font><font color=#000000><b>"&keyword&"</b></font> <font color=red>的资料，请重新填写关键词！<br><br><br><br></font>"
end if
%>

...全文