什么是HTML注入及其具体危害和防范措施？

本文共计1225个文字，预计阅读时间需要5分钟。

HTML注入是一种漏洞，一种网络攻击方式。当网页无法清理用户提供的输入或验证输出时，攻击者可伪造有效负载，通过易受攻击的字段将恶意HTML代码注入应用程序。

HTML注入是一种漏洞，一种网络攻击方式，当网页无法清理用户提供的输入或验证输出时，攻击者就可以伪造自己的有效负载，并通过易受攻击的字段将恶意HTML代码注入应用程序，从而修改网页内容，甚至获取一些敏感数据。

本教程操作环境：windows7系统、HTML5版、Dell G3电脑。

什么是HTML注入？

HTML注入(Hypertext Markup Language Injection)中文意思是“超文本标记性语言注入”，众所周知HTML含有各种标签，如果Web应用程序对用户输入的数据没进行彻底的处理的话，那么一些非法用户提交的数据可能含有HTML其他标签，而这些数据又恰好被服务器当作正常的HTML标签显示，那么最终的结果是非法标签被解析(可以应用于钓鱼、社会工程学等)，对其他用户造成很大影响。

攻击者可以伪造自己的有效负载，并通过易受攻击的字段将恶意HTML代码注入应用程序，从而修改网页内容，甚至获取一些敏感数据。

HTML注入与XSS的区别

XSS(Cross-site Scripting)中文翻译是“跨站脚本攻击”，XSS本质上是HTML注入攻击，但又不同于HTML注入，XSS利用脚本标记运行JavaScript等脚本程序，可以通过JavaScript获取机密数据和一些列危险操作，而HTML注入只是使用HTML标签修改页面内容。