搜索

[11537] 2017-07-06_安全隐患，你对X-XSS-Protection头部字段理解可能有误

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-07-06_安全隐患，你对X-XSS-Protection头部字段理解可能有误 安 全 隐 患 ， 你 对 X - X S S - P r o t e c t i o n 头 部 字 段 理 解 可 能 有 误 b g u s k o 6 3 1 9 0   F r e e B u f   2 0 1 7 - 0 7 - 0 6 * 本 文 原 创 作 者 ： b g u s k o 6 3 1 9 0 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 x 0 0 .   引 言 引 言 我 曾 做 过 一 个 调 查 ， 看 看 网 友 们 对 关 于 我 曾 做 过 一 个 调 查 ， 看 看 网 友 们 对 关 于 X - X S S - P r o t e c t i o n   字 段 的 设 置 中 ， 哪 一 个 设 置 是 最 差 的 ， 调 查 结 果 字 段 的 设 置 中 ， 哪 一 个 设 置 是 最 差 的 ， 调 查 结 果 令 我 非 常 吃 惊 ， 故 有 此 文 。 令 我 非 常 吃 惊 ， 故 有 此 文 。 网 友 们 认 为   最 差 的 配 置 是 X - X S S - P r o t e c t i o n :   0 ， 其 次 是   X - X S S - P r o t e c t i o n :   1 ;   m o d e = b l o c k ，   反 而 X - X S S - P r o t e c t i o n : 1   成 了 不 是 最 差 的 配 置 了 。 在 我 看 来 （ 其 他 人 也 可 能 和 我 持 有 同 样 观 点 ） ， X - X S S - P r o t e c t i o n :   1   应 该 是 最 差 的 配 置 。 在 这 篇 文 章 中 ， 我 会 和 大 家 一 起 讨 论 有 关 X - X S S - P r o t e c t i o n 的 配 置 ， 最 后 希 望 大 家 明 白 什 么 样 的 X - X S S - P r o t e c t i o n 配 置 才 是 有 安 全 隐 患 的 。 0 x 0 1 .   科 普 下 相 关 知 识 科 普 下 相 关 知 识 从 I E 8   开 始 ， I E   浏 览 器 内 置 了 一 个 针 对 X S S 攻 击 的 防 护 机 制 ， 这 个 浏 览 器 内 置 的 防 护 机 制 就 是 所 谓 的 X S S   f i l t e r ， 这 个 防 护 机 制 主 要 用 于 减 轻 反 射 型 X S S   攻 击 带 来 的 危 害 。   基 于 W e b k i t   内 核 的 浏 览 器 （ 比 如 C h r o m e ） 随 后 也 增 加 一 个 名 为 X S S   a u d i t o r   的 防 护 机 制 ， 作 用 和 I E 中 的 X S S   f i l t e r 类 似 。 这 两 种 X S S 防 护 机 制 的 目 的 都 很 简 单 ， 如 果 浏 览 器 检 测 到 了 含 有 恶 意 代 码 的 输 入 被 呈 现 在 H T M L 文 档 中 ， 那 么 这 段 呈 现 的 恶 意 代 码 要 么 被 删 除 ， 要 么 被 转 义 ， 恶 意 代 码 不 会 被 正 常 的 渲 染 出 来 ， 当 然 了 ， 浏 览 器 是 否 要 拦 截 这 段 恶 意 代 码 取 决 于 浏 览 器 的 X S S 防 护 设 置 。 至 于 怎 么 设 置 浏 览 器 的 X S S 防 护 机 制 ， 其 实 很 简 单 ， 只 要 在 H T T P 响 应 报 文 的 头 部 增 加 一 个 X - X S S - P r o t e c t i o n   字 段 ， 明 确 地 告 诉 浏 览 器 X S S   f i l t e r / a u d i t o r 该 如 何 工 作 。   X - X S S - P r o t e c t i o n   的 字 段 有 三 个 可 选 配 置 值 0 ：   表 示 关 闭 浏 览 器 的 X S S 防 护 机 制 1 ： 删 除 检 测 到 的 恶 意 代 码 ，   如 果 响 应 报 文 中 没 有 看 到 X - X S S - P r o t e c t i o n   字 段 ， 那 么 浏 览 器 就 认 为 X - X S S - P r o t e c t i o n 配 置 为 1 ， 这 是 浏 览 器 的 默 认 设 置 1 ;   m o d e = b l o c k ： 如 果 检 测 到 恶 意 代 码 ， 在 不 渲 染 恶 意 代 码 0 x 0 2 .   X - X S S - P r o t e c t i o n 的 默 认 配 置 并 不 安 全 的 默 认 配 置 并 不 安 全 让 我 们 一 起 讨 论 一 下 浏 览 器 中 关 于 X - X S S - P r o t e c t i o n 字 段 的 默 认 设 置 。   其 实 默 认 设 置 有 安 全 隐 患 的 。 第 一 个 安 全 隐 患 就 是 ： 第 一 个 安 全 隐 患 就 是 ： 默 认 设 置 扩 大 了 攻 击 面 ，   比 如 攻 击 者 可 以 利 用 这 个 默 认 设 置 选 择 性 的 删 除 页 面 中 某 些 脚 本 ， 下 图 就 是 一 个 例 子
在 上 图 的 例 子 中 ，   j Q u e r y   库 竟 然 被 意 外 的 删 除 了 ， 之 所 以 会 出 现 这 样 的 现 象 ， 是 因 为   浏 览 器 的 X S S   a u d i t o r 分 不 清 j Q u e r y 库 是 页 面 本 身 自 带 的 还 是 攻 击 者 注 入 的 。   如 果 这 次 被 以 外 删 除 的 是 一 个 和 安 全 相 关 的 j s 库 ， 你 可 以 想 象 ， 攻 击 者 注 入 一 个 和 含 有 j s 安 全 库 名 字 的 恶 意 代 码 ， 这 样 就 可 以 把 这 个 j s 安 全 库 给 删 除 了 。   类 似 这 样 的 攻 击 手 法 已 经 出 现 了 ， 点 击 这 里 查 看 详 情 第 二 个 安 全 隐 患 是 ： 第 二 个 安 全 隐 患 是 ： 默 认 设 置 会 引 入 新 的 漏 洞 ， 早 在 2 0 0 9 年 ， I E 浏 览 器 就 因 为 X S S   f i l t e r 的 缺 陷 被 爆 出 一 个 U X S S 漏 洞 。 实 际 上 ， 攻 击 者 可 以 将 无 害 的 标 签 变 成 有 害 的 标 签 ， 因 为 过 滤 器 有 时 候 很 傻 ， 会 不 正 确 地 替 换 了 关 键 位 置 的 字 符 ， 从 而 损 害 了 原 始 文 档 的 结 构 。 通 过 精 心 制 作 的 有 效 载 荷 ， 可 以 绕 过 属 性 下 文 的 限 制 。   最 近 ， 我 发 现 很 多 类 似 U X S S 的 漏 洞 被 发 现 ， 这 些 漏 洞 本 质 上 的 原 因 都 是 一 样 的 。 第 三 个 安 全 隐 患 ： 第 三 个 安 全 隐 患 ： 必 然 会 有 绕 过 X S S   f i l t e r / a u d i t o r   的 方 法 出 现 ，   不 信 你 可 以 看 看 以 前 被 绕 过 的 例 子 ， 比 如 这 个 ,   这 个 ,   这 个 ,   还 有 这 个 。 从 这 些 被 绕 过 的 案 例 中 ， 我 们 可 以 发 现 ， 不 管 X S S   f i l t e r / a u d i t o r   的 过 滤 多 么 严 格 ，   它 总 存 在 被 绕 过 的 可 能 ，   此 外 ， X S S   f i l t e r / a u d i t o r   在 某 些 场 景 下 是 有 短 板 的 ， C h r o m i u m   小 组 曾 经 很 明 确 的 表 明 ： X S S   a u d i t o r   只 是 众 深 防 御 的 一 环 ， 完 全 靠 它 是 无 法 防 止 所 有 的 X S S 攻 击 。 好 了 。 至 此 ， 大 家 对 X S S   f i l t e r / a u d i t o r   是 可 以 被 绕 过 的 这 一 观 点 没 有 异 议 吧 。   X S S   f i l t e r / a u d i t o r 的 默 认 设 置 会 部 分 删 除 它 认 为 的 恶 意 代 码 ， 这 种 做 法 有 时 候 是 有 问 题 的 ， 所 以 X S S - P r o t e c t i o n :   1 ;   m o d e = b l o c k 这 个 设 置 是 最 好 的 了 喽 ？ 咋 一 看 ， 好 像 是 没 了 上 述 提 到 的 问 题 ， 而 且 还 能 提 供 一 定 的 防 御 能 力 ， 可 不 幸 的 是 ， 这 样 的 配 置 还 是 会 引 入 新 的 漏 洞 , 最 明 显 的 一 个 例 子 就 是   R e f e r   泄 露 的 B U G , 这 个 漏 洞 导 致 了 F a c e b o o k 账 户 劫 持 漏 洞 .   这 也 是 F a c e b o o k   为 什 么 选 择 禁 用 X S S   f i l t e r / a u d i t o r 的 原 因 。 引 入 的 漏 洞 不 仅 仅 这 一 个 ， 其 他 的 漏 洞 比 如 这 个 ,   还 有 这 个 。   当 然 了 ， 和 上 述 提 到 的 漏 洞 相 比 ， 这 种 配 置 引 入 的 漏 洞 还 是 相 对 少 一 点 。 0 x 0 3 .   那 么 问 题 来 了 ， 最 好 的 设 置 是 什 么 那 么 问 题 来 了 ， 最 好 的 设 置 是 什 么 总 而 言 之 ，   至 于 设 置 成 X S S - P r o t e c t i o n :   0 还 是 X S S - P r o t e c t i o n :   1 ;   m o d e = b l o c k 取 决 于 你 的 业 务 场 景 ， 如 果 在 你 的 业 务 场 景 中 ， 你 认 为 你 的 程 序 或 系 统 是 不 会 有 X S S 漏 洞 的 ，   或 者 是 无 法 承 担 X S S   f i l t e r / a u d i t o r   特 性 引 发 的 B U G ， 那 你 就 选 择 配 置 成 前 者 ； 否 则 ， 你 还 是 选 择 配 置 成 后 者 吧 。   反 正 ， 老 司 机 给 你 一 句 忠 告 就 是 ， 千 万 别 配 置 成 X S S - P r o t e c t i o n :   1 * 本 文 原 创 作 者 ： b g u s k o 6 3 1 9 0 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理