Web前端安全之XSS攻击

雨点打透心脏的1/2处 2022-05-28 08:43 340阅读 0赞

### 什么是XSS ###

XSS又称CSS，全称Cross SiteScript，跨站脚本攻击，是Web程序中常见的漏洞，XSS属于被动式且用于客户端的攻击方式，所以容易被忽略其危害性。其原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码，当其它用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。如，盗取用户Cookie、破坏页面结构、重定向到其它网站等。  
  
![皓眸大前端开发学习][xss.jpg]XSS攻击

XSS攻击类似于SQL注入攻击，攻击之前，我们先找到一个存在XSS漏洞的网站，XSS漏洞分为两种，一种是DOM Based XSS漏洞，另一种是Stored XSS漏洞。理论上，所有可输入的地方没有对输入数据进行处理的话，都会存在XSS漏洞，漏洞的危害取决于攻击代码的威力，攻击代码也不局限于script。

\#\#\#\#基于DOM的XSS  
DOM Based XSS是一种基于网页DOM结构的攻击，该攻击特点是中招的人是少数人。  
当我登录a.com后，我发现它的页面某些内容是根据url中的一个叫content参数直接显示的，猜测它测页面处理可能是这样，其它语言类似：

<table style="width:792px;margin:0px;color:rgb(69,69,69);font-family:inherit;font-style:inherit;font-weight:inherit;background-color:rgb(255,255,255);padding:0px;border:0px;font-size:18px;vertical-align:middle;border-spacing:0px;"> 
 <tbody style="margin:0px;padding:0px;font-weight:inherit;font-style:inherit;font-family:inherit;vertical-align:baseline;"> 
 <tr style="border-top:0px;margin:0px;padding:0px;font-weight:inherit;font-style:inherit;font-family:inherit;vertical-align:baseline;"> 
 <td style="border-style:none;font-size:18px;padding:0px;margin:0px;font-style:inherit;font-family:inherit;vertical-align:middle;"><pre style="margin-bottom:0px;padding-right:20px;padding-left:0px;font-weight:inherit;background:rgb(45,45,45);font-family:'Source Code Pro', Consolas, Monaco, Menlo, Consolas, monospace;font-size:.85em;line-height:22.4px;color:rgb(102,102,102);border:none;font-style:inherit;vertical-align:baseline;text-align:right;">1
2
3
4
5
6
7
8
9
10
</pre></td> 
 <td style="border-style:none;font-size:18px;padding:0px;margin:0px;font-style:inherit;font-family:inherit;vertical-align:middle;"><pre style="margin-bottom:0px;padding-right:0px;padding-left:0px;font-weight:inherit;background:rgb(45,45,45);font-family:'Source Code Pro', Consolas, Monaco, Menlo, Consolas, monospace;font-size:14px;line-height:22.4px;color:rgb(204,204,204);border:none;font-style:inherit;vertical-align:baseline;">&lt;%@ page language="java"contentType="text/html; charset=UTF-8"pageEncoding="UTF-8"%&gt;
&lt;!DOCTYPEhtmlPUBLIC"-//W3C//DTD HTML 4.01 Transitional//EN""http://www.w3.org/TR/html4/loose.dtd"&gt;
&lt;html&gt;
 &lt;head&gt;
 &lt;title&gt;XSS测试&lt;/title&gt;
 &lt;/head&gt;
 &lt;body&gt;
 页面内容：&lt;%=request.getParameter("content")%&gt;
 &lt;/body&gt;
&lt;/html&gt;
</pre></td> 
 </tr> 
 </tbody> 
</table>

我知道了Tom也注册了该网站，并且知道了他的邮箱(或者其它能接收信息的联系方式)，我做一个超链接发给他，超链接地址为：

当Tom点击这个链接的时候(假设他已经登录a.com)，浏览器就会直接打开b.com，并且把Tom在a.com中的cookie信息发送到b.com，b.com是我搭建的网站，当我的网站接收到该信息时，我就盗取了Tom在a.com的cookie信息，cookie信息中可能存有登录密码，攻击成功！这个过程中，受害者只有Tom自己。那当我在浏览器输入

浏览器展示页面内容的过程中，就会执行我的脚本，页面输出xss字样，这是攻击了我自己。

\#\#\#\#存储型XSS  
Stored XSS是存储式XSS漏洞，由于其攻击代码已经存储到服务器上或者数据库中，所以受害者是很多人。  
a.com可以发文章，我登录后在a.com中发布了一篇文章，文章中包含了恶意代码，

保存文章。这时Tom和Jack看到了我发布的文章，当在查看我的文章时就都中招了，他们的cookie信息都发送到了我的服务器上，攻击成功！这个过程中，受害者是多个人。Stored XSS漏洞危害性更大，危害面更广。  
XSS主要就是利用漏洞执行你需要执行的js代码，常见的xss：

<table style="width:827px;margin:0px;color:rgb(69,69,69);font-family:inherit;font-style:inherit;font-weight:inherit;background-color:rgb(255,255,255);padding:0px;border:0px;font-size:18px;vertical-align:middle;border-spacing:0px;"> 
 <tbody style="margin:0px;padding:0px;font-weight:inherit;font-style:inherit;font-family:inherit;vertical-align:baseline;"> 
 <tr style="border-top:0px;margin:0px;padding:0px;font-weight:inherit;font-style:inherit;font-family:inherit;vertical-align:baseline;"> 
 <td style="border-style:none;font-size:18px;padding:0px;margin:0px;font-style:inherit;font-family:inherit;vertical-align:middle;"><pre style="margin-bottom:0px;padding-right:20px;padding-left:0px;font-weight:inherit;background:rgb(45,45,45);font-family:'Source Code Pro', Consolas, Monaco, Menlo, Consolas, monospace;font-size:.85em;line-height:22.4px;color:rgb(102,102,102);border:none;font-style:inherit;vertical-align:baseline;text-align:right;">1
2
3
4
</pre></td> 
 <td style="border-style:none;font-size:18px;padding:0px;margin:0px;font-style:inherit;font-family:inherit;vertical-align:middle;"><pre style="margin-bottom:0px;padding-right:0px;padding-left:0px;font-weight:inherit;background:rgb(45,45,45);font-family:'Source Code Pro', Consolas, Monaco, Menlo, Consolas, monospace;font-size:14px;line-height:22.4px;color:rgb(204,204,204);border:none;font-style:inherit;vertical-align:baseline;">&lt;img scr=1 οnerrοr=alert('xss')&gt;当找不到图片名为1的文件时，执行alert('xss')
&lt;a href=javascrip:alert('xss')&gt;s&lt;/a&gt; 点击s时运行alert('xss')
&lt;iframe src=javascript:alert('xss');height=0 width=0 /&gt;&lt;iframe&gt;利用iframe的scr来弹窗
&lt;img src="1" οnerrοr=eval("\x61\x6c\x65\x72\x74\x28\x27\x78\x73\x73\x27\x29")&gt;&lt;/img&gt;过滤了alert来执行弹窗
</pre></td> 
 </tr> 
 </tbody> 
</table>

### XSS分析 ###

很多应用含有富文本内容，这类应用最典型的特征是具有编辑器，例如：博客日志，邮箱等。这类应用往往允许使用一定的HTML代码。为了在用户体验和安全之间寻找平衡，各种厂商可能采用了不尽相同的办法。但是总体来说，有2类。

第1类我们称为白名单，即：只允许使用白名单内的合法HTML标签，例如IMG。其它均剔除。例如：百度贴吧回帖时候的代码过滤方式。  
第2类我们称为黑名单，即：厂商会构建一个有危害的HTML标签、属性列表，然后通过分析用户提交的HTML代码，剔除其中有害的部分。 如：QQ邮箱的发邮件时的过滤方式。

白名单要安全得多，而黑名单的方式则经常会被绕过。

绕过的技巧也有很多，我们可以从最没技术含量的开始说起!! 本节将以QQ空间/QQ校友的日志功能为例来说明，什么是“套现绕过富文本”！

注意：本节说的“套现”，不是与“钱”有关的；在这里的含义是：“套用现成的XSS代码”。

### XSS防御 ###

我们是在一个矛盾的世界中，有矛就有盾。只要我们的代码中不存在漏洞，攻击者就无从下手，我们要做一个没有缝的蛋。XSS防御有如下方式。永远不相信用户的输入。需要对用户的输入进行处理，只允许输入合法的值，其它值一概过滤掉。

#### Html encode ####

假如某些情况下，我们不能对用户数据进行严格的过滤，那我们也需要对标签进行转换。

<table style="width:780px;margin:0px;color:rgb(69,69,69);font-family:inherit;font-style:inherit;font-weight:inherit;background-color:rgb(255,255,255);padding:0px;border:0px;font-size:18px;vertical-align:middle;border-spacing:0px;"> 
 <tbody style="margin:0px;padding:0px;font-weight:inherit;font-style:inherit;font-family:inherit;vertical-align:baseline;"> 
 <tr style="border-top:0px;margin:0px;padding:0px;font-weight:inherit;font-style:inherit;font-family:inherit;vertical-align:baseline;"> 
 <td style="border-style:none;font-size:18px;padding:0px;margin:0px;font-style:inherit;font-family:inherit;vertical-align:middle;"><pre style="margin-bottom:0px;padding-right:20px;padding-left:0px;font-weight:inherit;background:rgb(45,45,45);font-family:'Source Code Pro', Consolas, Monaco, Menlo, Consolas, monospace;font-size:.85em;line-height:22.4px;color:rgb(102,102,102);border:none;font-style:inherit;vertical-align:baseline;text-align:right;">1
2
3
4
5
6
7
8
9
10
11
12
</pre></td> 
 <td style="border-style:none;font-size:18px;padding:0px;margin:0px;font-style:inherit;font-family:inherit;vertical-align:middle;"><pre style="margin-bottom:0px;padding-right:0px;padding-left:0px;font-weight:inherit;background:rgb(45,45,45);font-family:'Source Code Pro', Consolas, Monaco, Menlo, Consolas, monospace;font-size:14px;line-height:22.4px;color:rgb(204,204,204);border:none;font-style:inherit;vertical-align:baseline;">less-than character (&lt;)
&amp;lt;
greater-than character (&gt;)
&amp;gt;
ampersand character (&amp;)
&amp;amp;
double-quote character (")
&amp;quot;
space character( )
&amp;nbsp;
Any ASCII code character whose code is greater-than or equal to 0x80
&amp;#&lt;number&gt;, where &lt;number&gt; is the ASCII character value.
</pre></td> 
 </tr> 
 </tbody> 
</table>

比如用户输入：

保存后最终存储的会是：

在展现时浏览器会对这些字符转换成文本内容显示，而不是一段可执行的代码。  
JavaScript中有三个可以对字符串编码的函数，分别是： escape,encodeURI,encodeURIComponent，相应3个解码函数：unescape,decodeURI,decodeURIComponent 。

### xss资源 ###

1.  如果你想测测XSS，自己又写不出来高端的xss代码，这里有：[http://html5sec.org/][http_html5sec.org]  
    2.XSS盲打平台beff  
    BeEF是目前欧美最流行的web框架攻击平台，它的全称是 the Browser exploitation framework project.最近两年国外各种黑客的会议都有它的介绍，很多pentester对这个工具都有很高的赞美。通过XSS这个简单的漏洞，BeEF可以通过一段编制好的javascript控制目标主机的浏览器，通过浏览器拿到各种信息并且扫描内网信息，同时能够配合metasploit进一步渗透主机，强大的有些吓人  
    官方主页：[http://beefproject.com/][http_beefproject.com]  
    git代码: [https://github.com/chalecao/beef][https_github.com_chalecao_beef]

[xss.jpg]: http://www.haomou.net/images/xss.jpg
[http_html5sec.org]: http://html5sec.org/
[http_beefproject.com]: http://beefproject.com/
[https_github.com_chalecao_beef]: https://github.com/chalecao/beef