72 什么是 XSS 攻击,如何避免?

什么是 XSS 攻击,如何避免?

答:

概念:XSS是一种网站应用程序的安全漏洞攻击,是代码注入的一种,它允许恶意用户将代码注入到网页上,其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。

目的:想办法获取目标攻击网站的cookie,因为有了cookie相当于有了seesion,有了这些信息就可以在任意能接进互联网的pc登陆该网站,并以其他人的生份登陆,做一些破坏。
 

XSS攻击有哪几种类型?

常见的 XSS 攻击有三种:反射型XSS攻击、DOM-based 型XXS攻击以及存储型XSS攻击。
 

1.反射型XSS攻击

反射型 XSS 一般是攻击者通过特定手法(如电子邮件),诱使用户去访问一个包含恶意代码的 URL,当受害者点击这些专门设计的链接的时候,恶意代码会直接在受害者主机上的浏览器执行。反射型XSS通常出现在网站的搜索栏、用户登录口等地方,常用来窃取客户端 Cookies 或进行钓鱼欺骗。
 

2.存储型XSS攻击

也叫持久型XSS,主要将XSS代码提交存储在服务器端(数据库,内存,文件系统等),下次请求目标页面时不用再提交XSS代码。当目标用户访问该页面获取数据时,XSS代码会从服务器解析之后加载出来,返回到浏览器做正常的HTML和JS解析执行,XSS攻击就发生了。存储型 XSS 一般出现在网站留言、评论、博客日志等交互处,恶意脚本存储到客户端或者服务端的数据库中。
 

3.DOM-based 型XSS攻击

基于 DOM 的 XSS 攻击是指通过恶意脚本修改页面的 DOM 结构,是纯粹发生在客户端的攻击。DOM 型 XSS 攻击中,取出和执行恶意代码由浏览器端完成,属于前端 JavaScript 自身的安全漏洞。
 

如何防御XSS攻击?

  1. 对输入内容的特定字符进行编码,例如表示 html标记的 < > 等符号。

  2. 对重要的 cookie设置 httpOnly, 防止客户端通过document.cookie读取 cookie,此 HTTP头由服务端设置。

  3. 将不可信的值输出 URL参数之前,进行 URLEncode操作,而对于从 URL参数中获取值一定要进行格式检测(比如你需要的时URL,就判读是否满足URL格式)。

  4. 不要使用 Eval来解析并运行不确定的数据或代码,对于 JSON解析请使用 JSON.parse() 方法。

  5. 后端接口也应该要做到关键字符过滤的问题。
     

原文链接:https://www.baidu.com/link?url=GP7J2ELP7bo97OySrs2kCxJs25486--ISWPWZDVFj9mQFEpMLtEqelG0dj07H_Ny&wd=&eqid=abf0c4470007e126000000065ed4ba8a (上文)
原文链接:https://www.baidu.com/link?url=N9vMG8Pdrh10NaRCN8EgjpJsz62Jy5GhYuhTmW8-L-g5PzCArip5m8-LR29oJr_bA9iL-9rh13pLMV-7wsDnJq&wd=&eqid=abf0c4470007e126000000065ed4ba8a (下文)
 

XSS攻击的危害包括

  1. 盗取各类用户帐号,如机器登录帐号、用户网银帐号、各类管理员帐号

  2. 控制企业数据,包括读取、篡改、添加、删除企业敏感数据的能力

  3. 盗窃企业重要的具有商业价值的资料

  4. 非法转账

  5. 强制发送电子邮件

  6. 网站挂马

  7. 控制受害者机器向其它网站发起攻击
     

如何防御XSS攻击?

1基于特征的防御

XSS漏洞和著名的SQL注入漏洞一样,都是利用了Web页面的编写不完善,所以每一个漏洞所利用和针对的弱点都不尽相同。这就给XSS漏洞防御带来了困难:不可能以单一特征来概括所有XSS攻击。

传统XSS防御多采用特征匹配方式,在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击,采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索,一旦发现提交信息中包含“javascript”,就认定为XSS攻击。

  • 缺点是黑客可以通过插入字符或完全编码的方式躲避检测:

    躲避方法1)在javascript中加入多个tab键,得到

    < IMG SRC="jav ascript:alert('XSS');" >;

    躲避方法2) 在javascript中加入(空格)字符,得到

    < IMG SRC="javascri pt:alert('XSS');" >;

    躲避方法3) 在javascript中加入(回车)字符,得到

    < IMG SRC="jav

    ascript:alert('XSS');" >;

    躲避方法4)在javascript中的每个字符间加入回车换行符,得到

    < IMG SRC="javascrip\r

    \nt:alert('XSS');" >

    躲避方法5)对"javascript:alert('XSS')"采用完全编码,得到

    < IMGSRC=javascrip?74:alert('XSS') >

    上述方法都可以很容易的躲避基于特征的检测。而除了会有大量的漏报外,基于特征的

    还存在大量的误报可能:在上面的例子中,对上述某网站这样一个地址,由于包含了关键字“javascript”,也将会触发报警。
     

2 基于代码修改的防御

  • 和SQL注入防御一样,XSS攻击也是利用了Web页面的编写疏忽,所以还有一种方法就是从Web应用开发的角度来避免:

    步骤1、对所有用户提交内容进行可靠的输入验证,包括对URL、查询关键字、HTTP头、POST数据等,仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交,对其他的一律过滤。

    步骤2、实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查,以防功能被第三方网站所执行。

    步骤3、确认接收的的内容被妥善的规范化,仅包含最小的、安全的Tag(没有javascript),去掉任何对远程内容的引用(尤其是样式表和javascript),使用HTTP only的cookie。

当然,如上操作将会降低Web业务系统的可用性,用户仅能输入少量的制定字符,人与系统间的交互被降到极致,仅适用于信息发布型站点。并且考虑到很少有Web编码人员受过正规的安全培训,很难做到完全避免页面中的XSS漏洞。

你可能感兴趣的:(72 什么是 XSS 攻击,如何避免?)