xss注入漏洞產(chǎn)生的原因？xss注入過(guò)程步驟是什么？防范xss注入的方法有哪些

對(duì)于的用戶輸入中出現(xiàn)XSS漏洞的問(wèn)題，主要是由于開(kāi)發(fā)人員對(duì)XSS了解不足，安全的意識(shí)不夠造成的。現(xiàn)在讓我們來(lái)普及一下XSS的一些常識(shí)，以后在開(kāi)發(fā)的時(shí)候，每當(dāng)有用戶輸入的內(nèi)容時(shí)，都要加倍小心。請(qǐng)記住兩條原則：過(guò)濾輸入和轉(zhuǎn)義輸出。

成都創(chuàng)新互聯(lián)公司長(zhǎng)期為成百上千客戶提供的網(wǎng)站建設(shè)服務(wù)，團(tuán)隊(duì)從業(yè)經(jīng)驗(yàn)10年，關(guān)注不同地域、不同群體，并針對(duì)不同對(duì)象提供差異化的產(chǎn)品和服務(wù)；打造開(kāi)放共贏平臺(tái)，與合作伙伴共同營(yíng)造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為三門峽企業(yè)提供專業(yè)的網(wǎng)站建設(shè)、成都網(wǎng)站制作，三門峽網(wǎng)站改版等技術(shù)服務(wù)。擁有十余年豐富建站經(jīng)驗(yàn)和眾多成功案例,為您定制開(kāi)發(fā)。

一、什么是XSS

XSS又叫CSS (Cross Site Script) ，跨站腳本攻擊。它指的是惡意攻擊者往Web頁(yè)面里插入惡意html代碼，當(dāng)用戶瀏覽該頁(yè)之時(shí)，嵌入其中Web里面的html代碼會(huì)被執(zhí)行，從而達(dá)到惡意的特殊目的。XSS屬于被動(dòng)式的攻擊，因?yàn)槠浔粍?dòng)且不好利用，所以許多人常呼略其危害性。

在WEB2.0時(shí)代，強(qiáng)調(diào)的是互動(dòng)，使得用戶輸入信息的機(jī)會(huì)大增，在這個(gè)情況下，我們作為開(kāi)發(fā)者，在開(kāi)發(fā)的時(shí)候，要提高警惕。

二、XSS攻擊的主要途徑

XSS攻擊方法只是利用HTML的屬性，作各種的嘗試，找出注入的方法。現(xiàn)在對(duì)三種主要方式進(jìn)行分析。

第一種：對(duì)普通的用戶輸入，頁(yè)面原樣內(nèi)容輸出。

打開(kāi)(限公司IP)，輸 入：scriptalert(‘xss’)/script， JS腳本順利執(zhí)行。當(dāng)攻擊者找到這種方法后，就可以傳播這種鏈接格式的鏈接 （）如：http: //go.ent.163.com/goproducttest/test.jsp?key=scriptalert(‘xss’) lt;/script，并對(duì)JSCODE做適當(dāng)偽裝，如：

%74%3e%61%6c%65%72%74%28%27%78%73%73%27%29%3c%2f%73%63%72%69%70%74%3e,當(dāng)其 它用戶當(dāng)點(diǎn)此鏈接的時(shí)候，JS就運(yùn)行了，造成的后果會(huì)很嚴(yán)重，如跳去一個(gè)有木馬的頁(yè)面、取得登陸用戶的COOKIE等。

第二種：在代碼區(qū)里有用戶輸入的內(nèi)容

原則就是，代碼區(qū)中，絕對(duì)不應(yīng)含有用戶輸入的東西。

第三種：允許用戶輸入HTML標(biāo)簽的頁(yè)面。

用戶可以提交一些自定義的HTML代碼，這種情況是最危險(xiǎn)的。因?yàn)椋琁E瀏覽器默認(rèn)采用的是UNICODE編碼，HTML編碼可以用ASCII方式來(lái)寫，又可以使用”/”連接16進(jìn)制字符串來(lái)寫，使得過(guò)濾變得異常復(fù)雜，如下面的四個(gè)例子，都可以在IE中運(yùn)行。

1，直接使用JS腳本。

img src=”javascript:alert(‘xss’)” /

2，對(duì)JS腳本進(jìn)行轉(zhuǎn)碼。

img src=”javascript:alert(‘xss’)” /

3，利用標(biāo)簽的觸發(fā)條件插入代碼并進(jìn)行轉(zhuǎn)碼。

img onerror=”alert(‘xss’)” /

4，使用16進(jìn)制來(lái)寫(可以在傲游中運(yùn)行)

img STYLE=”background-image: /75/72/6c/28/6a/61/76/61/73/63/72/69/70/74/3a/61/6c/65/72/74/28/27/58/53/53/27/29/29″

以上寫法等于img STYLE=”background-image: url(javascript:alert(‘XSS’))”

三、XSS攻擊解決辦法

請(qǐng)記住兩條原則：過(guò)濾輸入和轉(zhuǎn)義輸出。

具體執(zhí)行的方式有以下幾點(diǎn)：

第一、在輸入方面對(duì)所有用戶提交內(nèi)容進(jìn)行可靠的輸入驗(yàn)證，提交內(nèi)容包括URL、查詢關(guān)鍵字、http頭、post數(shù)據(jù)等

第二、在輸出方面，在用戶輸內(nèi)容中使用XMP標(biāo)簽。標(biāo)簽內(nèi)的內(nèi)容不會(huì)解釋，直接顯示。

第三、嚴(yán)格執(zhí)行字符輸入字?jǐn)?shù)控制。

四、在腳本執(zhí)行區(qū)中，應(yīng)絕無(wú)用戶輸入。

xss漏洞類型有哪些？

大家好，大家經(jīng)常聽(tīng)到XSS攻擊這個(gè)詞，那么XSS攻擊到底是什么，以及如何防御XSS攻擊大家清楚么？今天，天下數(shù)據(jù)就給大家講一下：XSS攻擊的定義、類型以及防御方法。

什么是XSS攻擊？

XSS攻擊全稱跨站腳本攻擊，是一種在web應(yīng)用中的計(jì)算機(jī)安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁(yè)面中。

XSS攻擊有哪幾種類型？

常見(jiàn)的 XSS 攻擊有三種：反射型XSS攻擊、DOM-based 型XXS攻擊以及存儲(chǔ)型XSS攻擊。

1.反射型XSS攻擊

反射型 XSS 一般是攻擊者通過(guò)特定手法（如電子郵件），誘使用戶去訪問(wèn)一個(gè)包含惡意代碼的 URL，當(dāng)受害者點(diǎn)擊這些專門設(shè)計(jì)的鏈接的時(shí)候，惡意代碼會(huì)直接在受害者主機(jī)上的瀏覽器執(zhí)行。反射型XSS通常出現(xiàn)在網(wǎng)站的搜索欄、用戶登錄口等地方，常用來(lái)竊取客戶端 Cookies 或進(jìn)行釣魚欺騙。

2.存儲(chǔ)型XSS攻擊

也叫持久型XSS，主要將XSS代碼提交存儲(chǔ)在服務(wù)器端（數(shù)據(jù)庫(kù)，內(nèi)存，文件系統(tǒng)等），下次請(qǐng)求目標(biāo)頁(yè)面時(shí)不用再提交XSS代碼。當(dāng)目標(biāo)用戶訪問(wèn)該頁(yè)面獲取數(shù)據(jù)時(shí)，XSS代碼會(huì)從服務(wù)器解析之后加載出來(lái)，返回到瀏覽器做正常的HTML和JS解析執(zhí)行，XSS攻擊就發(fā)生了。存儲(chǔ)型 XSS 一般出現(xiàn)在網(wǎng)站留言、評(píng)論、博客日志等交互處，惡意腳本存儲(chǔ)到客戶端或者服務(wù)端的數(shù)據(jù)庫(kù)中。

3.DOM-based 型XSS攻擊

基于 DOM 的 XSS 攻擊是指通過(guò)惡意腳本修改頁(yè)面的 DOM 結(jié)構(gòu)，是純粹發(fā)生在客戶端的攻擊。DOM 型 XSS 攻擊中，取出和執(zhí)行惡意代碼由瀏覽器端完成，屬于前端 JavaScript 自身的安全漏洞。

如何防御XSS攻擊？

1. 對(duì)輸入內(nèi)容的特定字符進(jìn)行編碼，例如表示 html標(biāo)記的 等符號(hào)。

2. 對(duì)重要的 cookie設(shè)置 httpOnly, 防止客戶端通過(guò)document.cookie讀取 cookie，此 HTTP頭由服務(wù)端設(shè)置。

3. 將不可信的值輸出 URL參數(shù)之前，進(jìn)行 URLEncode操作，而對(duì)于從 URL參數(shù)中獲取值一定要進(jìn)行格式檢測(cè)（比如你需要的時(shí)URL，就判讀是否滿足URL格式）。

4. 不要使用 Eval來(lái)解析并運(yùn)行不確定的數(shù)據(jù)或代碼，對(duì)于 JSON解析請(qǐng)使用 JSON.parse() 方法。

5. 后端接口也應(yīng)該要做到關(guān)鍵字符過(guò)濾的問(wèn)題。

以上，是天下數(shù)據(jù)給大家分享的關(guān)于XSS攻擊的全部?jī)?nèi)容，大家記得收藏方便以后查看哦。

如今，各種類型網(wǎng)絡(luò)攻擊日益頻繁，除了XSS攻擊之外，比較常見(jiàn)的網(wǎng)絡(luò)攻擊類型還包括DDoS攻擊、CC攻擊等，它們非常難以防御，除了需要做好日常網(wǎng)絡(luò)安全防護(hù)之外，還需要接入高防服務(wù)，可以接入天下數(shù)據(jù)高防cdn，通過(guò)天下數(shù)據(jù)高防cdn隱藏源IP，對(duì)攻擊流量進(jìn)行清洗，保障企業(yè)網(wǎng)絡(luò)及業(yè)務(wù)的正常運(yùn)行。

xss漏洞的正確分類是什么？

根據(jù)XSS腳本注入方式的不同，我們可以對(duì)XSS攻擊進(jìn)行簡(jiǎn)單的分類。其中，最常見(jiàn)的就數(shù)反射型XSS和存儲(chǔ)型XSS了。

1.反射型XSS

反 射型XSS，又稱非持久型XSS。之所以稱為反射型XSS，則是因?yàn)檫@種攻擊方式的注入代碼是從目標(biāo)服務(wù)器通過(guò)錯(cuò)誤信息、搜索結(jié)果等等方式“反射”回來(lái) 的。而稱為非持久型XSS，則是因?yàn)檫@種攻擊方式具有一次性。攻擊者通過(guò)電子郵件等方式將包含注入腳本的惡意鏈接發(fā)送給受害者，當(dāng)受害者點(diǎn)擊該鏈接時(shí)，注 入腳本被傳輸?shù)侥繕?biāo)服務(wù)器上，然后服務(wù)器將注入腳本“反射”到受害者的瀏覽器上，從而在該瀏覽器上執(zhí)行了這段腳本。

當(dāng) 受害者點(diǎn)擊這個(gè)鏈接的時(shí)候，注入的腳本被當(dāng)作搜索的關(guān)鍵詞發(fā)送到目標(biāo)服務(wù)器的search.asp頁(yè)面中，則在搜索結(jié)果的返回頁(yè)面中，這段腳本將被當(dāng)作搜 索的關(guān)鍵詞而嵌入。這樣，當(dāng)用戶得到搜索結(jié)果頁(yè)面后，這段腳本也得到了執(zhí)行。這就是反射型XSS攻擊的原理，可以看到，攻擊者巧妙地通過(guò)反射型XSS的攻 擊方式，達(dá)到了在受害者的瀏覽器上執(zhí)行腳本的目的。由于代碼注入的是一個(gè)動(dòng)態(tài)產(chǎn)生的頁(yè)面而不是永久的頁(yè)面，因此這種攻擊方式只在點(diǎn)擊鏈接的時(shí)候才產(chǎn)生作 用，這也是它被稱為非持久型XSS的原因。

2.存儲(chǔ)型XSS

存儲(chǔ)型XSS，又稱持久型XSS，他和反射型XSS最大的不同就是，攻擊腳本將被永久地存放在目標(biāo)服務(wù)器的數(shù)據(jù)庫(kù)和 文件中。這種攻擊多見(jiàn)于論壇，攻擊者在發(fā)帖的過(guò)程中，將惡意腳本連同正常信息一起注入到帖子的內(nèi)容之中。隨著帖子被論壇服務(wù)器存儲(chǔ)下來(lái)，惡意腳本也永久地 被存放在論壇服務(wù)器的后端存儲(chǔ)器中。當(dāng)其它用戶瀏覽這個(gè)被注入了惡意腳本的帖子的時(shí)候，惡意腳本則會(huì)在他們的瀏覽器中得到執(zhí)行，從而受到了攻擊。

可 以看到，存儲(chǔ)型XSS的攻擊方式能夠?qū)阂獯a永久地嵌入一個(gè)頁(yè)面當(dāng)中，所有訪問(wèn)這個(gè)頁(yè)面的用戶都將成為受害者。如果我們能夠謹(jǐn)慎對(duì)待不明鏈接，那么反射 型的XSS攻擊將沒(méi)有多大作為，而存儲(chǔ)型XSS則不同，由于它注入的往往是一些我們所信任的頁(yè)面，因此無(wú)論我們多么小心，都難免會(huì)受到攻擊。可以說(shuō)，存儲(chǔ) 型XSS更具有隱蔽性，帶來(lái)的危害也更大，除非服務(wù)器能完全阻止注入，否則任何人都很有可能受到攻擊。

利用最近熱門的Xss漏洞能做什么？

1、針對(duì)性掛馬 所以這類網(wǎng)站一定是游戲網(wǎng)站，銀行網(wǎng)站或者是關(guān)于qq、taobao或者影響力相當(dāng)大的網(wǎng)站等，它們必須有我們平常需要盜取的帳號(hào)密碼;當(dāng)然也或許是這個(gè)站點(diǎn)的瀏覽量相當(dāng)高，我們能將更多的馬掛出去。 而如果僅僅是平平常常的一個(gè)小站點(diǎn)的XSS漏洞，如果我們要掛馬，那么莫不如就直接把木馬頁(yè)面地址貼出去。 2、用戶權(quán)限下操作 這類網(wǎng)站則必須有會(huì)員了，而且這些會(huì)員有很多有意義的操作或者有我們需要的內(nèi)部個(gè)人資料，所以我們可以通過(guò)XSS對(duì)已登錄訪問(wèn)者進(jìn)行有權(quán)限操作。我認(rèn)為cookies的盜取應(yīng)該算作這一項(xiàng)，因?yàn)槠淠康囊彩谦@取用戶操作權(quán)限(盜密碼包括在內(nèi))，從而獲取用戶某些信息或者進(jìn)行權(quán)限下的相關(guān)操作。 3、Dos攻擊或傀儡機(jī) 這同樣需要一個(gè)訪問(wèn)量非常大的站點(diǎn)，利用小站點(diǎn)莫不如我們自己攻擊或獲取信息。我們可以通過(guò)此頁(yè)的訪問(wèn)用戶不間斷地攻擊其他站點(diǎn)，或者進(jìn)行局域網(wǎng)掃描等等。這類js工具早已經(jīng)產(chǎn)生，js端口掃描、jikto、xssshell等等。 4、提權(quán) 一般這主要發(fā)生在論壇或信息管理系統(tǒng)，總之一定要有管理員了。這需要攻擊者對(duì)目標(biāo)系統(tǒng)相當(dāng)熟悉(一般這樣的系統(tǒng)需要開(kāi)源代碼)，從而知道怎樣構(gòu)造語(yǔ)句進(jìn)行提權(quán)。 5、實(shí)現(xiàn)特殊效果 譬如Monyer在百度空間的插入視頻，插入版塊;譬如一些人在新浪博客或者校內(nèi)網(wǎng)實(shí)現(xiàn)的特殊效果等等。 結(jié)論： 從而你應(yīng)該了解到這些網(wǎng)站應(yīng)該具有的性質(zhì)： 極高的訪問(wèn)量，有會(huì)員，有管理員，有具有價(jià)值的帳號(hào)密碼，或者有意義進(jìn)行特殊效果的實(shí)現(xiàn)。 如果你讀過(guò)《Ajax Hacking with XSS》，你應(yīng)該知道XSS至少包含input XSS和textarea XSS等七種方式。 其中url XSS屬于input XSS，這些漏洞大部分屬于保留式的XSS，而textarea XSS等一般屬于不保留XSS。 這意味著正常訪問(wèn)一個(gè)頁(yè)面是不會(huì)觸發(fā)保留式的XSS的，盡管這是大部分網(wǎng)站具有的漏洞，其中搜索部分又稱搜索式XSS漏洞。 所以當(dāng)你獲取了一個(gè)input XSS，你僅僅alert出一個(gè)小框框。你跟別人大吹大擂，你發(fā)現(xiàn)了一個(gè)漏洞，并且你可以alert一個(gè)框框給他看，但是事實(shí)上你什么都做不了。即使你能掛些小木馬，那也是很沒(méi)意義的事情——因?yàn)槟隳蝗缰苯釉谧约旱奶摂M主機(jī)里做XSS頁(yè)面發(fā)給別人。 這個(gè)跟sql注入不同，XSS畢竟是客戶端的東西。sql注入的目的往往是為了得到目標(biāo)系統(tǒng)的權(quán)限，并且sql語(yǔ)句本身執(zhí)行的就是服務(wù)端的指令;但 XSS一般卻是為了獲得客戶端的東西，執(zhí)行的也是客戶端的指令。所以他們可以“'”一下“出錯(cuò)了”而大喊，你卻不能因?yàn)椤癮lert”出了“xss窗口” 而亂叫。

求采納

網(wǎng)站標(biāo)題：zblogxss漏洞 zblog破解
轉(zhuǎn)載來(lái)于：http://chinadenli.net/article20/dojdijo.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供定制開(kāi)發(fā)、做網(wǎng)站、響應(yīng)式網(wǎng)站、網(wǎng)站導(dǎo)航、App設(shè)計(jì)、App開(kāi)發(fā)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)