web安全之XSS漏洞

Admin 2020-05-10 116人围观 ,发现0个评论 XSS漏洞web安全

web安全之XSS漏洞

 web安全之XSS漏洞 Web安全

XSS漏洞被称为跨站脚本攻击(Cross Site Scripting)由于与CSS 重名,顾更名为XSS。XSS可造成以下危害:

  1. 登录仿冒

  2. 敏感信息泄露

  3. 蠕虫传播

  4. 外部舆论事件

  5. 配合其他漏洞绕过安全策略,造成更多危害,比如敏感操作被执行(配合CSRF),敏感信息泄露(配合JSONP)等

漏洞原理

XSS,跨站脚本攻击,指的是用户输入的内容,被当做html/javascript代码直接填充到HTML文本里面,并被浏览器直接渲染,作为页面元素展示/执行。若用户输入一些有害JavaScript代码,这些代码会被直接执行,导致不同程度的危害,比如敏感信息泄露,登录仿冒等业务危害。详细危害请参照关联内容中的超链接。XSS有以下子类型:

  1. 反射型XSS,用户输入的有害代码,传递到服务端,服务端不做任何处理/存储,直接返回给页面进行渲染

  2. 存储型XSS,用户输入的有害代码,传递到服务端,服务端将其做持久化存储,其他业务/页面从数据库中获取该数据之后进行展示

  3. DOM型XSS,和服务端无关,前端js代码从页面获取用户输入内容,不做任何处理直接插入到页面中

其中,存储型XSS因为其持久化的原因,危害最大

所有有将用户输入直接嵌入到页面进行内容展示的业务场景均有可能出现XSS。该场景不仅限于Web端,在Client端从服务器端获取数据时,也会触发XSS。

例子

  1. 黑客可以通过在页面上嵌入『获取用户cookie中session_id』的js代码,当用户访问该页面的时候,非法获取用户的登录态。在自己的电脑上替换成用户的登录态,以用户的身份进行登录。进行各类高危敏感用户操作。

  2. XSS从cookie中获取csrf token,配合csrf相关操作过程,绕过csrf访问,导致敏感操作被执行.

防御策略

纯接口(hsf/http接口)给服务器进行调用的目前不需要进行XSS配置,只要数据被引入到html页面上的均需要进行XSS防御配置。对所有输出的内容进行统一HTML特殊字符转义。若为json格式输出,则仅对key和value进行转义,不破坏json结构。数据经过安全转义之后,输出到页面上,页面展示乱码,需要前端处理。

请发表您的评论
请关注微信公众号
微信二维码
不容错过
Powered By 蚁人博客