搜索

[20711] 2017-04-17_跨站脚本攻击XSS的安全防御

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2017-04-17_跨站脚本攻击XSS的安全防御 跨 站 脚 本 攻 击 X S S 的 安 全 防 御 L e m o n S e c   2 0 1 7 - 0 4 - 1 7 X S S 攻 击 作 为 W e b 业 务 的 最 大 威 胁 ， 危 害 的 不 仅 仅 是 W e b 业 务 本 身 ， 对 访 问 W e b 业 务 的 用 户 也 会 带 来 直 接 的 影 响 ， 如 何 防 范 和 阻 止 X S S 攻 击 ， 保 障 W e b 站 点 的 业 务 安 全 呢 ？ 首 先 我 们 就 要 了 解 什 么 是 X S S 攻 击 。 第   1   页   面 对 跨 站 脚 本 攻 击 X S S 的 安 全 防 御 建 议 X S S 攻 击 作 为 W e b 业 务 的 最 大 威 胁 之 一 ， 不 仅 危 害 W e b 业 务 本 身 ， 对 访 问 W e b 业 务 的 用 户 也 会 带 来 直 接 的 影 响 ， 如 何 防 范 和 阻 止 X S S 攻 击 ， 保 障 W e b 站 点 的 业 务 安 全 呢 ？ 首 先 我 们 就 要 了 解 什 么 是 X S S 攻 击 。 一   什 么 是 X S S 攻 击 ： X S S 的 全 称 是 C r o s s   S i t e   S c r i p t i n g ， 意 思 是 跨 站 脚 本 。 这 第 一 个 单 词 是 C r o s s ， 为 什 么 缩 写 成 X 呢 ？ 因 为 C S S 是 层 叠 样 式 表 的 缩 写 ( C a s c a d i n g   S t y l e   S h e e t s ) 的 缩 写 ， 同 时 C r o s s 发 音 和 X 相 似 ， 为 了 避 免 混 淆 用 X 来 代 替 , 缩 写 成 X S S 。 它 指 的 是 恶 意 攻 击 者 往 W e b 页 面 里 插 入 恶 意 h t m l 代 码 ， 当 用 户 浏 览 该 页 之 时 ， 嵌 入 其 中 W e b 里 面 的 h t m l 代 码 会 被 执 行 ， 从 而 达 到 恶 意 用 户 的 特 殊 目 的 。 X S S 属 于 被 动 式 的 攻 击 ， 因 为 其 被 动 且 不 好 利 用 ， 所 以 许 多 人 常 呼 略 其 危 害 性 。 二   X S S 的 攻 击 方 式 ： 跨 站 攻 击 有 多 种 方 式 ， 由 H T M L 语 言 允 许 使 用 脚 本 进 行 简 单 交 互 ， 入 侵 者 便 通 过 技 术 手 段 在 某 个 页 面 里 插 入 一 个 恶 意 H T M L 代 码 - - 例 如 记 录 论 坛 保 存 的 用 户 信 息 ( C o o k i e ) ， 由 于 C o o k i e 保 存 了 完 整 的 用 户 名 和 密 码 资 料 ， 用 户 就 会 遭 受 安 全 损 失 。 当 然 ， 攻 击 者 有 时 也 会 在 网 页 中 加 入 一 些 以 . J S 或 . V B S 为 后 尾 名 的 代 码 时 ， 在 我 们 浏 览 时 ， 同 样 我 们 也 会 被 攻 击 到 。 三   X S S 攻 击 的 危 害 ： 1 、 盗 取 各 类 用 户 帐 号 ， 如 机 器 登 录 帐 号 、 用 户 网 银 帐 号 、 各 类 管 理 员 帐 号 2 、 控 制 企 业 数 据 ， 包 括 读 取 、 篡 改 、 添 加 、 删 除 企 业 敏 感 数 据 的 能 力 3 、 盗 窃 企 业 重 要 的 具 有 商 业 价 值 的 资 料 4 、 非 法 转 账 5 、 强 制 发 送 电 子 邮 件 6 、 网 站 挂 马 7 、 控 制 受 害 者 机 器 向 其 它 网 站 发 起 攻 击 四   X S S 攻 击 漏 洞 ： X S S 攻 击 分 成 两 类 ， 一 类 是 来 自 内 部 的 攻 击 ， 主 要 指 的 是 利 用 程 序 自 身 的 漏 洞 ， 构 造 跨 站 语 句 ， 如 : d v b b s 的 s h o w e r r o r . a s p 存 在 的 跨 站 漏 洞 。 另 一 类 则 是 来 来 自 外 部 的 攻 击 ， 主 要 指 的 自 己 构 造 跨 站 脚 本 攻 击 X S S 跨 站 漏 洞 网 页 或 者 寻 找 非 目 标 机 以 外 的 有 跨 站 漏 洞 的 网 页 。 如 当 我 们 要 渗 透 一 个 站 点 ， 我 们 自 己 构 造 一 个 有 跨 站 漏 洞 的 网 页 ， 然 后 构 造 跨 站 语 句 ， 通 过 结 合 其 它 技 术 ， 如 社 会 工 程 学 等 ， 欺 骗 目 标 服 务 器 的 管 理 员 打 开 。 五   X S S 的 基 本 防 御 技 术 ： 1 、 基 于 特 征 的 防 御 ： X S S 漏 洞 和 著 名 的 S Q L 注 入 漏 洞 一 样 ， 都 是 利 用 了 W e b 页 面 的 编 写 不 完 善 ， 所 以 每 一 个 漏 洞 所 利 用 和 针 对 的 弱 点 都 不 尽 相 同 。 这 就 给 X S S 漏 洞 防 御 带 来 了 困 难 ： 不 可 能 以 单 一 特 征 来 概 括 所 有 X S S 攻 击 。 传 统 X S S 防 御 多 采 用 特 征 匹 配 方 式 ， 在 所 有 提 交 的 信 息 中 都 进 行 匹 配 检 查 。 对 于 这 种 类 型 的 X S S 攻 击 ， 采 用 的 模 式 匹 配 方 法 一 般 会 需 要 对 " j a v a s c r i p t " 这 个 关 键 字 进 行 检 索 ， 一 旦 发 现 提 交 信 息 中 包 含 " j a v a s c r i p t " ， 就 认 定 为 X S S 攻 击 。 这 种 检 测 方 法 的 缺 陷 显 而 易 见 ： 骇 客 可 以 通 过 插 入 字 符 或 完 全 编 码 的 方 式 躲 避 检 测 ： 躲 避 方 法 1 ) 在 j a v a s c r i p t 中 加 入 多 个 t a b 键 ， 得 到 <   I M G   > ; 躲 避 方 法 2 )   在 j a v a s c r i p t 中 加 入 & # x 0 9 编 码 字 符 ， 得 到 <   I M G   > ; 躲 避 方 法 3 )   在 j a v a s c r i p t 中 加 入 字 符 ， 得 到 <   I M G   S R C = " j a v a s c r i p t : a l e r t ( ' X S S ' ) ; "   > ; 上 述 的 相 关 内 容 就 是 对 面 对 跨 站 脚 本 攻 击 X S S 的 安 全 防 御 建 议 的 描 述 ， 希 望 会 给 你 带 来 一 些 帮 助 在 此 方 面 。 查 看 更 多 文 章 ， 关 注 下 方 二 维 码

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理