本篇共 3553 字

浅谈系列之跨站脚本攻击(XSS)

作者:hobby云说   分类:浅谈系列   发布时间:2021年11月21日

OWASP Top10之一的XSS是个什么东西呢?

一、XSS简介

XSS,英文全称Cross Site Scripting,翻译过来就是跨站脚本,本应该写作CSS,但是为了和层叠样式表(Cascading Style Sheet)有所区分,所以改写为XSS

二、XSS攻击基本原理

跨站脚本攻击顾名思义是通过脚本来完成攻击的,也就是通过将恶意的Script代码通过某些方式插入Web网页中,当用户访问这个网页的时候,插入的恶意Script代码就会执行,从而实现攻击的效果。

个人总结XSS攻击四步曲:

1、攻击者在正经url后某个参数中添加恶意代码;

2、通过各种“威逼利诱”引导受害者点击包装好的url

3、受害者浏览器收到响应后执行解析,其中的恶意代码也会被执行到;

4、在恶意代码中,攻击者可以实现盗取受害者的cookie\token等相关信息,然后冒充受害者进行非法操作;

三、XSS攻击类型

反射型XSS(非持久化)

攻击者引诱受害者访问包含恶意脚本的链接,这类攻击需要受害者主动点击才能触发。此类恶意代码是存在url中的,每次攻击都是一次性的,所以又称为非持久性XSS

存储型XSS(持久化)

攻击者在web页面中的输入框(如留言板)中输入恶意代码进行提交,此时恶意代码将会上传至服务器中,待后续有访问此页面用户的浏览器就会执行这串恶意代码。此类恶意代码是存储在后端数据库中,所以又称为持久性XSS

DOM

我们客户端的js可以对页面dom节点进行动态的操作,比如插入、修改页面的内容。比如说客户端从URL中提取数据并且在本地执行,如果用户在客户端输入的数据包含了恶意的js脚本的话,但是这些脚本又没有做任何过滤处理的话,那么我们的应用程序就有可能受到DOM-based XSS的攻击。

 

四、如何防范XSS攻击

1、后端对提交的数据进行过滤;

2、使用内容安全性政策(CSP);

3、禁止 JavaScript 读取某些敏感 Cookie

4对于不受信任的输入,都应该限定一个合理的长度;

5、时刻保持安全意识,在写代码的时候考虑安全风险;

 

五、写在最后

万事没有绝对,安全也是一样,只有相对安全,没有绝对安全。我们需要时刻保持安全意识,在产品设计之初、在测试阶段、在上线后服务运维阶段等等等等。在业务和安全之间找到平衡的那个点,才能更好的展现安全本身的安全。

 

下期预告:浅谈系列之跨站请求伪造(CSRF),敬请期待~

本篇文章最后修改于:2021年11月21日

文章标签: 漏洞
上一篇: 没有了!
本篇共 0 条评论

留言内容:

还没有任何评论!

你还没有登录,请 登录 后再评论!还没有账号,请前往 注册

文章归档

最新评论

还没有任何评论!