web平安三，XSS进击

2024年3月6日 190次阅读 来源: MorePainMoreGain

上文说完了CSRF进击，本文继承研讨它的兄弟XSS进击。

什么是XSS进击

XSS进击全名（Cross-Site-Script）跨域剧本进击，为了跟CSS（Cascading-Style-Sheet）辨别开来，所以缩写是XSS。

XSS进击的道理

上一节说道的CSRF进击是应用的是“伪要求”，这一节的XSS的道理是应用剧本注入的体式格局。
主如果依托统统能够的手腕，将浏览器中能够实行的剧本(javascript)植入到页面代码中，从而猎取用户cookie以至账号密码等敏感数据运用户形成的肯定的丧失。
平常应用的是目的网站的发帖、宣布产物等须要用户输入的处所，将剧本殽杂到html输入中，上传到服务器，再引诱别的用户翻开此页面，实行剧本的一个历程。

XSS进击的要领

xss破绽是对web客户端（浏览器）的进击，所以说植入的代码基本上以javascript和html标签(偶然也有连系css款式的xss向量)为主。
平常有四种要领：

  1. 页面标签附带剧本
  2. Dom 属性附带剧本
  3. 要求地点附带剧本
  4. 回车空格打破过滤限定

举两个小李子：

<script>alert('xss')</script>

<img scr=1 onerror=alert('xss')>

<a href=javascrip:alert('xss')>s</a>

<iframe src=javascript:alert('xss');height=0 width=0 />

<img src=x onerror=appendChild(createElement('script')).src='js_url' />

<img src = “#”/**/onerror = alert(/XSS/)>
<img src = j
ava script :a ler t(/xss/)>

XSS进击防备的手腕

由于XSS的根本就是向网站插进去剧本代码，并使它运转的一种手腕。防备要领分为两种，服务端防备和客户端防备。
服务端防备：
1. HttpOnly
能够限定javascript不能读取cookie，防备会话ID泄漏
2.处置惩罚富文本
过滤掉富文本中的敏感标签如（script、iframe、form），另有敏感词（javascript:） 等等
客户端防备：
1. 输入搜检
防备输入敏感字段，如javascript、cookie等等
2. 搜检输出
剧本都是经由过程殽杂在HTML当中，被当做html代码的一部分才获得实行。
能够经由过程编码转义的方法，使得殽杂在个中的剧本被当做文本处置惩罚，不会被实行。
编码转义的话，有三种要领：

*1.  HTML encode*
    将字符转换成HTMLEntities，平常会转（&、<、>、"、'、/）这6个字符。平常是在html标签属性输出的时刻运用
*2.  JavaScriptEncode*
    运用”\“对特别字符举行转义。
    平常在script标签输出、事宜输出、CSS输出
*3.  URL Encode*
    运用URLEncode的要领。

参考：
XSS的道理剖析与剖解
跨站剧本进击（XSS）——罕见网站进击手腕道理与防备
XSS进击及防备
XSS进击的解决要领

【相干】
web平安，是一个很主要的妙技，也是一个范畴的学问。我把这个范畴的东西写成了一个系列，今后还会继承完美下去：
web平安一：同源战略与跨域
web平安二：CSRF 进击
web平安三：XSS 进击

    原文作者：MorePainMoreGain
    原文地址: https://segmentfault.com/a/1190000013440764
    本文转自网络文章，转载此文章仅为分享知识，如有侵权，请联系博主进行删除。
点赞