目录
什么是XSS
概念
理解
XSS分类
存储型XSS
反射型XSS
原理
攻击过程
DOM型
攻击过程
DOM行XSS与反射型XSS区别
存储型XSS与反射型XSS区别
DVWA实验
反射型XSS
low等级
JavaScript弹窗函数
攻击思路
攻击者web设计
medium等级
high等级
impissible等级
存储型XSS
low等级
medium等级
high
impossible等级
修复
XSS全称是:Cross Site Script ,缩写应该是css,但为了与Css区分开,安全行业就取名为Xss
Xss其实是一种注入,前端语言的注入。
黑客通过“HTML注入”篡改网页,插入恶意脚本,在用户浏览网页时,实现控制用户浏览器的一种攻击方式。
正常情况下我们有一个钥匙,对应着保险柜的门,但是有人偷偷拿到了我们的钥匙,又复制了一把,这样就也能打开保险柜了。
这里的钥匙在web中指的事Cookie,当黑客可以利用Xss盗取用户的 Cookie,黑客有了Cookie就可以以正常用户的身份访问Web站点,对于Web站点来说,他只认Cookie,无法分辨是谁在访问。
黑客构造XSS脚本在留言上,提交给后端的Web应用程序,Web应用程序将恶意留言保存在数据库中。
用户打开浏览器,访问嵌入了XSS脚本的页面,浏览器向后端的web应用程序请求页面内容。而页面中的留言是存储在数据库中,所以需要从数据库中读取数据,数据库会将写入的XSS代码返回给web应用程序,并最终返回给浏览器,触发XSS。
访问携带XSS脚本的链接触发XSS
这是后端php语言,获取参数后直接输入到客户端,导致XSS。
用户在浏览器中个访问带有XSS脚本的链接,浏览器向后端Web应用程序发送请求,后端应用程序将URL中XSS脚本数据写入到响应页面,并返回给浏览器,浏览器渲染响应页面,触发XSS。
特征与反射型XSS是一样的,区别在于
可以看到触发的地方在url的hash中
Location 对象 Location 对象包含有关当前 URL 的信息。 Location 对象是 Window 对象的一个部分,可通过 window.location 属性来访问。 Location 对象属性 属性 描述 hash 设置或返回从井号 (#) 开始的 URL(锚)。
查看源码,可以看到,上面一句是从URl中提取hash赋值给变量errorMsg。第二句是对errorMsg进行编码后,以innerHTML的形式写入ID为“errorMsg”的DOM节点中。
用户在浏览器中访问带XSS脚本的链接,浏览器通过JS语言从URl中提取出XSS脚本内容,并写入到DOM中,触发XSS。
区别在于存储型xss是在数据库中提取XSS脚本内容,而反射型XSS是直接从URL中提取XSS脚本内容。
xss本质上是一种客户端代码注入,通常注入代码是JavaScript。区别于命令注入,SQL注入等服务端代码注入。
三种XSS区别
进入DVWA,打开反射型XSS,一个简单输入框。
首先进行正常操作,输入xss,点击提交
页面出现字符
输入xss标签,打开firebug发现似乎可以注入html标签
接下来进行弹窗测试,这是xss测试普遍的方法,能弹窗说明存在xss
在firebug中可以查看到对应元素,成功注入了js脚本,说明这里存在xss漏洞
js中不仅仅只有alert()可以弹窗,我们可以根据服务器的过滤情况,尝试其他函数
反射型xss,有以下四个角色,首先用户处于登录状态,攻击者发送一个url给用户,这个url域名是被攻击的web服务器,诱骗他点击,用户点击后web会对url中包含的js脚本做出响应,用户浏览器执行js脚本。在用户不知情的情况下,发送用户凭证到攻击者的web服务器上,攻击者获取到会话信息,攻击者使用用户的身份登录到被攻击的web服务器。到这里攻击者就可以以用户的身份操作。
我们使用127.0.0.1这个ip新建一个cookie.php文件内容如下
构造攻击js
document.location含义是将页面内容定位到指定位置,会访问参数中的地址,参数中写上刚刚新建的php文件网址,将document.cookie获取的cookie赋值给cookie参数。这个cookie值最终会出现在127.0.0.1网站的cookie.txt中
构造并发送攻击url
hello后面的数据使我们输入的数据,除了单引号全部被html编码了
我们查看源码,使用了htmlspecialchars函数
这个函数单引号默认不编码,需要的话要设置如图参数
存储型XSS
low等级
前端限制,限制长度
我们使用firebug查看,限制了30和50个字符
我们可以使用TamperData绕过前端,直接发送,输入一百个字符,发送后发现成功绕过浏览器限制
进行插入弹框脚本,发现弹了两次,name和message成功注入,其他与反射型基本一致,因为存储型是存到数据库中的,会一直存在
清除弹窗,重置数据库
medium等级
使用大小写混合,成功注入,发现只有name注入成功,但是只要有一个弹窗成功就说明存在xss
high
使用img
![](x)
成功绕过
发现name注入成功
impossible等级
发现单引号被转义,其他符号被过滤
修复
输入过滤与输出过滤
输入过滤最好使用白名单
输出过滤——html编码js转义