XSS 攻击实战

Posted jing-tian

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了XSS 攻击实战相关的知识,希望对你有一定的参考价值。

什么是XSS?

为了与层叠样式表css区分,将跨站脚本简写为XSS。

XSS攻击原理

XSS(Cross Site Scripting)攻击全称跨站脚本攻击,是为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS,XSS是一种经常出现在web应用中的计算机安全漏洞,它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括html代码和客户端脚本。

XSS,两个层次是服务器端和浏览器端。协议就是HTML/CSS/javascript。对于服务器端来说,html是数据(字符串);对于浏览器端来说,html是指令。XSS的原理,就是破坏html/css/js的构造。

主要危害

  1、盗取各类用户帐号,如机器登录帐号、用户网银帐号、各类管理员帐号
  2、控制企业数据,包括读取、篡改、添加、删除企业敏感数据的能力
  3、盗窃企业重要的具有商业价值的资料
  4、非法转账
  5、强制发送电子邮件
  6、网站挂马
  7、控制受害者机器向其它网站发起攻击

XSS根据效果不同可以分为三类

  1. 反射型XSS(reflected)
  2. 存储型XSS(stored)
  3. DOM Based XSS

黑客更喜欢“存储型”,或者说“存储型”的“危害”更大

1.反射型XSS

反射型XSS,也叫非持久型XSS,是指发生请求时,XSS代码出现在请求URL中,作为参数提交到服务器,服务器解析并响应。响应结果中包含危险XSS代码,最后浏览器解析并执行。从概念上可以看出,反射型XSS代码是首先出现在URL中的,然后需要服务端解析,最后需要浏览器解析之后XSS代码才能够攻击。

这类通常使用URL,具体流程:

  1、Alice给Bob发送一个恶意构造了Web的URL。
  2、Bob点击并查看了这个URL。
  3、恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。
  4、具有漏洞的HTML页面包含了在Bob电脑本地域执行的JavaScript。
  5、Alice的恶意脚本可以在Bob的电脑上执行Bob所持有的权限下的命令。

举个列子:

http://localhost:8080/helloController/search?name=<script>alert("hey!")</script>

http://localhost:8080/helloController/search?name=<img src=‘w.123‘ onerror=‘alert("hey!")‘>

http://localhost:8080/helloController/search?name=<a onclick=‘alert("hey!")‘>点我</a>
// 有时攻击者会伪造一个图片,让你点击后链接跳转URL

服务端代码片段,只做了一个简单的字符串连接就返回给客户端。

Chrome是有做处理的相对比较安全,但是Firefox就没有。

2.存储型XSS

存储型XSS,也叫持久型XSS,主要是将XSS代码发送到服务器(不管是数据库、内存还是文件系统等。),然后在下次请求页面的时候就不用带上XSS代码了。最典型的就是留言板XSS。用户提交了一条包含XSS代码的留言到数据库。当目标用户查询留言时,那些留言的内容会从服务器解析之后加载出来。浏览器发现有XSS代码,就当做正常的HTML和JS解析执行。XSS攻击就发生了。

例如:该网页有一个发表评论的功能,该评论会写入后台数据库,其他用户访问留言板的时候,会从数据库中加载出所有的评论并执行了相应的 js 代码。

// 留言解析攻击
<td><script src=‘https://bundle.js‘></script></td>
<textarea><script src=‘https://bundle.js‘></script></textarea>

// 诱导到钓鱼网站
<img onclick="window.location.href=‘http://www.baidu.com‘" width=‘300‘ src=‘img/webwxgetmsgimg.jpg‘/>

// 劫持流量实现恶意跳转
<script>window.location.href="http://www.baidu.com";</script>

3.DOM型XSS

与前两者完全不同,DOM型XSS是纯前端的XSS漏洞,XSS直接通过浏览器进行解析,就完成攻击。

基于DOM的XSS有时也称为type0XSS。如果服务端对DOM中的数据没有经过严格确认,当用户能够通过交互动态地检查和修改浏览器页面中DOM(DocumentObjectModel)并显示在浏览器上时,就有可能产生这种漏洞,从效果上来说它也是反射型XSS。

技术图片

实例1:包括符号也要复制进去

这种攻击方式是因为其操作处于双引号之内,系统转义了双引号导致变量无法“escape”

<body>
    <input type="text" id="text">
    <input type="button" id="s" value="按钮" onclick="test()">
    <div id=‘div‘></div>
    <a href="ggg" onclick="alert(/xss/)" ‘>示范2</a>
    <script>
        function test(){
            var str = document.getElementById(‘text‘).value;    
            document.getElementById("div").innerHTML = "<a href=‘"+str+"‘ >testLink</a>";
        }
    </script>
</body>

我们在文本输入框输入下面:(注意含有空格)

‘ οnclick=alert(/xss/) //
或者
‘ οnclick=alert(/xss/)  或者
‘ οnclick=alert(/xss/)  /

技术图片

输入后,页面代码就变成了:

<a href=‘‘ onclick=alert(/xss/)//‘ >生成的link</a>

技术图片

首先用一个单引号闭合掉href的第一个单引号,然后插入一个onclick事件,最后再用注释符”//"注释掉第二个单引号。

点击这个新生成的连接,脚本将被执行:

技术图片

你可以拿下面的img图片用上面的实例测试也可以有类似效果

<img src="xxx" onerror=alert("/xss/");>

实例2:

<body>
    <input type="text" id="text">
    <input type="button" id="s" value="按钮" onclick="test()">
    <div id=‘div‘></div><br/>
    <script>
        function test(){
            var str = document.getElementById(‘text‘).value; 
            document.getElementById("div").innerHTML = "<img src="+‘gggg ‘+str+" />";
        }
        // 注意src的值gggg后面附带空格的
    </script>
</body>

注意src的值gggg后面附带空格的,若是忘写空格,则必须要文本输入框中首个字符是空格

我们在文本输入框输入下面:: (注意含有空格)

 ‘ onerror=alert(/我是xss/) 

技术图片

反射型XSS效果与存储型XSS和DOM型XSS唯一的差别是反射型XSS直接把GET中的参数显示在网页上,没有经过数据库,而存储型XSS是先存储到服务器上,再回显到网页的。则DOM型XSS是单纯的前端漏洞

(2016.3.16修改,domxss取决于输出位置,并不取决于输出环境,因此domxss既有可能是反射型的,也有可能是存储型的)

XSS攻击的注入点

  • HTML节点内容
  • HTML属性
  • JavaScript代码 (字符串提前关闭)
  • 富文本

1、HTML节点内容
这个其实就是我之前演示的,HTML节点中暗藏攻击脚本。

技术图片

2、HTML属性
这里img的src属性是由用户传递过来的值,当用户把图片地址写成错误的:1"%20onerror="alert(%27哈哈被攻击%27)

技术图片

技术图片

3、JavaScript代码 (字符串提前关闭)
当JavaScript代码中有一个变量是由用户提供的数据,这个数据也有可能之前被写入了数据库。如下图,当用户输入的内容为:
小柚子";alert(%27哈哈你被攻击了!%27);"

技术图片

技术图片

**4、富文本 **
大家都知道,富文本其实就是一段HTML。既然它是一段HTML,那么就存在XSS攻击。而且富文本攻击的防御相对比较麻烦。

XSS防御措施

chrome浏览器自带防御,可拦截反射性XSS(HTML内容和属性),js和富文本的无法拦截,所以我们必须得自己做一些防御手段。

反射性XSS的url处理,采用插值或过滤

  1. 推荐使用插值
  2. encodeURI

1、HTML节点内容的防御

将用户输入的内容进行转义:

// 后端代码
var escapeHtml = function(str) {
    str = str.replace(/</g,‘&lt;‘);
    str = str.replace(/>/g,‘&gt;‘);
    return str;
}

ctx.render(‘index‘, {comments, from: escapeHtml(ctx.query.from || ‘‘)});

技术图片

2、HTML属性的防御

对空格,单引号,双引号进行转义

// 后端代码
var escapeHtmlProperty = function (str) {
    if(!str) return ‘‘;
    str = str.replace(/"/g,‘&quto;‘);
    str = str.replace(/‘/g,‘&#39;‘);
    str = str.replace(/ /g,‘&#32;‘);
    return str;
}

ctx.render(‘index‘, {posts, comments,
    from:ctx.query.from || ‘‘,
    avatarId:escapeHtmlProperty(ctx.query.avatarId || ‘‘)});

技术图片

3、JavaScript的防御

对引号进行转义

var escapeForJS = function(str){
        if(!str) return ‘‘;
        str = str.replace(//g,‘\\‘);
        str = str.replace(/"/g,‘"‘);
        return str;
}

技术图片

4、富文本的防御

富文本的情况非常的复杂,js可以藏在标签里,超链接url里,何种属性里。

<script>alert(1)</script>
<a href="javascript:alert(1)"></a>
<img src="abc" onerror="alert(1)"/>

所以我们不能过用上面富文本的方法做简单的转义。因为情况实在太多了。

现在我们换个思路,
提供两种过滤的办法:比较复杂,需要用白名单过滤,不在白名单中的都转义

1)黑名单
我们可以把<script/> onerror 这种危险标签或者属性纳入黑名单,过滤掉它。但是我们想,这种方式你要考虑很多情况,你也有可能漏掉一些情况等。

2)白名单
这种方式只允许部分标签和属性。不在这个白名单中的,一律过滤掉它。但是这种方式编码有点麻烦,我们需要去解析html树状结构,然后进行过滤,把过滤后安全的html在输出。
这里提供一个包,帮助我们去解析html树状结构,它使用起来和jquery非常的类似。

npm install cheerio --save

var xssFilter = function(html) {
    if(!html) return ‘‘;
    var cheerio = require(‘cheerio‘);
    var $ = cheerio.load(html);
    //白名单
    var whiteList = {
        ‘html‘ : [‘‘],
        ‘body‘ : [‘‘],
        ‘head‘ : [‘‘],
        ‘div‘ : [‘class‘],
        ‘img‘ : [‘src‘],
        ‘a‘ : [‘href‘],
        ‘font‘:[‘size‘,‘color‘]
    };

    $(‘*‘).each(function(index,elem){
        if(!whiteList[elem.name]) {
            $(elem).remove();
            return;
        }
        for(var attr in elem.attribs) {
            if(whiteList[elem.name].indexOf(attr) === -1) {
                $(elem).attr(attr,null);
            }
        }

    });

    return $.html();
}

console.log(xssFilter(‘<div><font color="red">你好</font><a href="http://www.baidu.com">百度</a><script>alert("哈哈你被攻击了")</script></div>‘));

大家可以看到:

技术图片

<script>不在白名单中,所以被过滤掉了。

5、CSP(Content Security Policy)

内容安全策略(Content Security Policy,简称CSP)是一种以可信白名单作机制,来限制网站中是否可以包含某来源内容。默认配置下不允许执行内联代码(

(c)2006-2024 SYSTEM All Rights Reserved IT常识