防止跨站点脚本注入_防止跨站点脚本攻击

防止跨站点脚本注入

大多数现有的浏览器都能够解释和执行脚本，这些脚本以诸如JavaScript，JScript，VBScript之类的脚本语言创建，并嵌入在从Web服务器下载的网页中。 当攻击者将恶意脚本引入用户提交的动态表单时，就会发生跨站点脚本（XSS）攻击。

XSS攻击会导致不良后果。 例如，攻击者获得了捕获会话信息的能力，可以窥探私人用户的详细信息，例如ID，密码，信用卡信息，家庭住址和电话号码，社会安全/税号等。 如果目标网站没有检查这种类型的恶意代码，则可能会滥用用户。

为了降低脚本被识别为恶意的风险，攻击者可以使用其他编码方法（例如HEX）对其进行编码。 通过这种更改，网站将恶意内容显示在页面上，就像显示的信息是该站点中的有效内容一样。 如果Web应用程序未验证输入，则攻击者所需要做的就是诱使用户选择恶意超链接，然后Web应用程序从用户那里收集机密数据。 这使攻击者能够捕获用户的会话并窃取用户的凭据，重定向到另一个网站上的页面，然后插入可能使Cookie失效，暴露SSL连接，访问受限制的站点或私有站点，甚至触发许多此类行为的代码。攻击。

阻止此类滥用的武器库中的第一个武器是识别容易受到XSS式入侵的区域。

发现XSS漏洞

以下示例旨在帮助您识别容易受到XSS攻击的区域。

银行病

假设攻击者希望收集虚构的流行银行网站www.simplebank.com的用户的信息。 要登录该网站，攻击者首先输入测试用户ID（“ test”）和密码（“ test”）。 当返回的错误页面返回一条消息，提示用户ID和密码组合错误时，黑客发现自己处于将恶意代码插入Web页面的理想状态。 怎么样？

• 他首先在ID文本框中输入以下内容： 。
• 他提交了表单，然后看到此JavaScript警报消息：“待完成”。 现在他知道该站点很容易受到XSS风格的攻击。
• 然后，他可能将清单1中的脚本引入URL，该脚本将提交的用户信息重定向到恶意网站.com。

  该代码基本上将任何登录到该网站的用户的用户ID和密码信息传递给攻击者的网站。

• 现在，用于破解用户ID和密码的脚本已经准备就绪，攻击者将使用此链接向银行网站用户发送具有诱人优惠的电子邮件和帖子。
• 诱人的优惠提示，用户可以单击链接并登录到