草庐IT

不好！有敌情，遭到XSS攻击【网络安全篇】

前端工程师请求出战 2023-04-09 原文

XSS：当一个目标的站点，被我们用户去访问，在渲染HTMl的过程中，出现了没有预期到的脚本指令，然后就会执行攻击者用各种方法注入并执行的恶意脚本，这个时候就会产生XSS。

涉及方：

  • 用户（通过浏览器去访问网页）
  • 攻击者（通过各种办法让用户访问页面执行恶意脚本，盗取信息）
  • Web服务器（存储并返回恶意脚本）

XSS的危害

挂马

网页挂马是指在一个程序中利用木马生成器生成一个网码，加上一些代码，可以让木马程序再打开网页的时候就立即执行。

盗取用户的Cookie

盗取了用户的关键信息后，就可以模拟去做一些事情：包含但不局限于转账请求、恶意信息发送请求、未知文件下载请求、删除目标文章、恶意篡改数据、嫁祸。

蠕虫病毒

  • 爆发 Web2.0 蠕虫病毒
  • 蠕虫式的DDoS攻击
  • 蠕虫式挂马攻击、刷广告、刷流量、破坏网上数据

其它

  • DDoS（拒绝服务）客户端浏览器。
  • 钓鱼攻击，高级的钓鱼技巧。
  • 劫持用户 Web 行为，甚至进一步渗透内网。

XSS种类

反射型

指发出一个请求的时候，XSS的恶意代码出现在我们的访问链接之中，它作为一部分的数据提交到我们的服务器，服务器解析之后进行响应，代码就会随着响应传回到浏览器中。

比如我们在输入框中输入字符，并且检索，网页也会把结果返回到页面上：

URL里面有什么请求字符，就把请求字符反射到前端页面上：

如果我们把值替换成<script>标签呢?

<script>标签的内容就会成为网页的一部分了，浏览器看到<script>标签就会执行，弹出警示框：

看到这里，我们可能觉得这个小弹窗没什么的，但是真正要进行攻击的黑客只是用这个弹窗来检测网页是否有漏洞，然后再进行更深层次的攻击。

存储型

举一个最常见的评论例子：

当我们提交之后，信息会被保存在服务器里，也就造成了所有浏览此网页看到此评论的人都会执行此脚本，用户不知情，用户越多，中招的人数也就越多，没有乱点链接也中招，想想就可怕。

DOM型

我们来分析：

  • URL地址#（hash）的参数不会发送给服务器

  • Img标签做了字符串拼接

  • 把id为tabContent的html设置为变量名为html的值

  • 接下来我们看有没有可以被注入的方法呢？
    我们可以看到chooseTab函数被注入了一个要命的值（location.hash），也就是URL上 # 的值，这也就是黑客最想找到值，黑客就可以修改 # 后面的值，从而触发 JQ 的 html() 方法

  • 如下代码明显是执行不了src属性，就会触发onerror并执行脚本

  • 如果这段字符被加在URL后面并执行的话

  • 因为网页的源码同时存在可以被操作的属性和方法，导致网页文档结构被修改，页面就会触发脚本的加载

防御敌情

  • 对一些敏感信息进行保护，比如 cookie 使用 http-only，使得脚本无法获取。

  • 可以使用验证码，避免脚本伪装成用户执行一些操作。

  • 输入处理：

    • 包括用户输入、URL参数、POST请求参数
    • 黑名单脚本过滤，如：<script>alert(...)</script>，标签替换，只留中间
    • 白名单过滤，如：像用户名密码，正则匹配用户输入，限制输入位数，限制输入字符等

  • 输出处理

    • <script>alert(...)</script>对输出的编码做转译
    • < : &lt;
    • > : &1t;
    • & : &am;
    • " : quot;
    • ' : &#39;
    • \ : \\
    • / : \/
    • ; : ；

  • XSS拦截转换

最后

XSS存在的最根本原因是我们对url中的参数或者用户需要输入的地方没有做一个充分的过滤，所以就会有一些不合法的参数或者输入内容能够到我们的 Web服务器 ，最后用户访问前端页面的时候，就可能将这段代码拉过来又执行了一遍，对我们程序或者我们程序猿本身而言，XSS的防范至关重要。

相关资料

XSS网络攻击 - 原理，类型和实践
XSS 原理和攻防 - Web 安全常识

水平有限，还不能写到尽善尽美，希望大家多多交流，跟春野一同进步！！！

敌情遭到ltgtquot

有关不好！有敌情，遭到XSS攻击【网络安全篇】的更多相关文章

  1. ruby - 如何使用 Ruby aws/s3 Gem 生成安全 URL 以从 s3 下载文件 - 2

    我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A

  2. ruby - 用 Ruby 编写一个简单的网络服务器 - 2

    我想在Ruby中创建一个用于开发目的的极其简单的Web服务器(不，不想使用现成的解决方案)。代码如下:#!/usr/bin/rubyrequire'socket'server=TCPServer.new('127.0.0.1',8080)whileconnection=server.acceptheaders=[]length=0whileline=connection.getsheaders想法是从命令行运行这个脚本，提供另一个脚本，它将在其标准输入上获取请求，并在其标准输出上返回完整的响应。到目前为止一切顺利，但事实证明这真的很脆弱，因为它在第二个请求上中断并出现错误:/usr/b

  3. ruby - 如何安全地删除文件？ - 2

    在Ruby中是否有Gem或安全删除文件的方法？我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix，一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?

  4. 网络编程套接字 - 2

    网络编程套接字网络编程基础知识理解源`IP`地址和目的`IP`地址理解源MAC地址和目的MAC地址认识端口号理解端口号和进程ID理解源端口号和目的端口号认识`TCP`协议认识`UDP`协议网络字节序socket编程接口`sockaddr``UDP`网络程序服务器端代码逻辑：需要用到的接口服务器端代码`udp`客户端代码逻辑`udp`客户端代码`TCP`网络程序服务器代码逻辑多个版本服务器单进程版本多进程版本多线程版本线程池版本服务器端代码客户端代码逻辑客户端代码TCP协议通讯流程TCP协议的客户端/服务器程序流程三次握手（建立连接）数据传输四次挥手（断开连接）TCP和UDP对比网络编程基础知识

  5. ruby - 用 YAML.load 解析 json 安全吗？ - 2

    我正在使用ruby2.1.0我有一个json文件。例如:test.json{"item":[{"apple":1},{"banana":2}]}用YAML.load加载这个文件安全吗？YAML.load(File.read('test.json'))我正在尝试加载一个json或yaml格式的文件。 最佳答案 YAML可以加载JSONYAML.load('{"something":"test","other":4}')=>{"something"=>"test","other"=>4}JSON将无法加载YAML。JSON.load("

  6. ruby-on-rails - 安全地显示使用回形针 gem 上传的图像 - 2

    默认情况下:回形针gem将所有附件存储在公共(public)目录中。出于安全原因，我不想将附件存储在公共(public)目录中，所以我将它们保存在应用程序根目录的uploads目录中:classPost我没有指定url选项，因为我不希望每个图像附件都有一个url。如果指定了url:那么拥有该url的任何人都可以访问该图像。这是不安全的。在user#show页面中:我想实际显示图像。如果我使用所有回形针默认设置，那么我可以这样做，因为图像将在公共(public)目录中并且图像将具有一个url:Someimage:看来，如果我将图像附件保存在公共(public)目录之外并且不指定url(同

  7. ruby - 检查网络文件是否存在，而不下载它？ - 2

    是否可以在不实际下载文件的情况下检查文件是否存在？我有这么大的(~40mb)文件，例如:http://mirrors.sohu.com/mysql/MySQL-6.0/MySQL-6.0.11-0.glibc23.src.rpm这与ruby​​不严格相关，但如果发件人可以设置内容长度就好了。RestClient.get"http://mirrors.sohu.com/mysql/MySQL-6.0/MySQL-6.0.11-0.glibc23.src.rpm",headers:{"Content-Length"=>100} 最佳答案

  8. ruby - 404 未找到，但可以从网络浏览器正常访问 - 2

    我在这方面尝试了很多URL，在我遇到这个特定的之前，它们似乎都很好:require'rubygems'require'nokogiri'require'open-uri'doc=Nokogiri::HTML(open("http://www.moxyst.com/fashion/men-clothing/underwear.html"))putsdoc这是结果:/Users/macbookair/.rvm/rubies/ruby-2.0.0-p481/lib/ruby/2.0.0/open-uri.rb:353:in`open_http':404NotFound(OpenURI::HT

  9. ruby - 使写入文件线程安全 - 2

    我在一个ruby​​文件中有一个函数可以像这样写入一个文件File.open("myfile",'a'){|f|f.puts("#{sometext}")}这个函数在不同的线程中被调用，使得像上面这样的文件写入不是线程安全的。有谁知道如何以最简单的方式使这个文件写入线程安全？更多信息:如果重要的话，我正在使用rspec框架。 最佳答案 您可以通过File#flock给锁File.open("myfile",'a'){|f|f.flock(File::LOCK_EX)f.puts("#{sometext}")}

  10. 深度学习12. CNN经典网络 VGG16 - 2

    深度学习12.CNN经典网络VGG16一、简介1.VGG来源2.VGG分类3.不同模型的参数数量4.3x3卷积核的好处5.关于学习率调度6.批归一化二、VGG16层分析1.层划分2.参数展开过程图解3.参数传递示例4.VGG16各层参数数量三、代码分析1.VGG16模型定义2.训练3.测试一、简介1.VGG来源VGG（VisualGeometryGroup）是一个视觉几何组在2014年提出的深度卷积神经网络架构。VGG在2014年ImageNet图像分类竞赛亚军，定位竞赛冠军；VGG网络采用连续的小卷积核（3x3）和池化层构建深度神经网络，网络深度可以达到16层或19层，其中VGG16和VGG

随机推荐