跨站脚本攻击XSS（Cross Site Script）的原理与常见场景分析
前言
前段时间在网上看到一个网址，好奇之下进去看了看。胜利的条件是你录入一个串，让其调用prompt(1) 。发现里面有好多想不到的东西，今天终于悠闲了来这里说说XSS。
XSS 原理
跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
XSS 常见场景
一些私人的博客，攻击者恶意评论，弹出alert，这种充其量也就是一个玩笑。但是如果是盗窃cookie，异常提交请求，这些就比较难受了。
prompt(1)
chrome 版本 62.0.3202.75（正式版本） （64 位）
function escape(input) {
// warm up
// script should be executed without user interaction
return '<input type="text" value="' + input + '">';
}
第一个
这是一个开胃菜，没有做任何校验，这种不设防的在现在已经很少了。他把值直接拼入字符串，组成一个DOM input标签，那我们只要正确的把标签闭合掉就可以调用了。
"><script>prompt(1)</script> ,拼出来的字符串为<input type="text" value=""><script>prompt(1)</script>"> ，这样就等于插入了我们的代码。
function escape(input) {
// tags stripping mechanism from ExtJS library
// Ext.util.Format.stripTags
var stripTagsRE = /<\/?[^>]+>/gi;
input = input.replace(stripTagsRE, '');
return '<article>' + input + '</article>';
}
第二个
这个已经提升难度了，/<\/?[^>]+>/gi匹配<>标签内的所有东西,如输入<script>prompt(1)</script>转换过后会出现prompt(1)，内容里面的标签被替换掉了。所以这个我们去尝试不闭合标签，让浏览器自己去容错。
<img src onerror="prompt(1);" 该方法通过img加载src失败会调用onerror的想法。
function escape(input) {
// v-- frowny face
input = input.replace(/[=(]/g, '');
// ok seriously, disallows equal signs and open parenthesis
return input;
}
第三个
这个就有点略坑了/[=(]/g把所以的=号和(号都替换掉了，这样我们尝试调用的时候就不能使用这些东西了。使用的方法是通过模板字符串的标签模板，这个ES6的特性。 <script>prompt`1`</script>看样子我们这样写就可以了，但是为什么没有生效呢？下面的图可以看出来，这样的话传入的是字符串，判断是不通过的,所以我们要修改一下<script>prompt.call${1}</script> ,这样就可以跑过验证了。（话说markdown如何在``里面写``）
function escape(input) {
// filter potential comment end delimiters
input = input.replace(/->/g, '_');
// comment the input to avoid script execution
return '<!-- ' + input + ' -->';
}
第四个
这个看上去是把你写的内容都放在了html的注释语句里面，并且用/->/g替换了一把。我想到的方案有条件注释，但是条件注释这是IE的东西，我们就先不测试了。
--!><img src onerror="prompt(1);" 使用这个可以关闭
function escape(input) {
// make sure the script belongs to own site
// sample script: http://prompt.ml/js/test.js
if (/^(?:https?:)?\/\/prompt\.ml\//i
.test(decodeURIComponent(input))) {
var script = document.createElement('script');
script.src = input;
return script.outerHTML;
} else {
return 'Invalid resource.';
}
}
第五个
这个是通过伪造url，我们使用的是访问带有用户名、密码保护的 URL来伪造。
http://prompt.ml%2f@urlurl为一个网络地址引用的js，内容为prompt(1)。本来想尝试一下data:text/html,<html><script>prompt(1)</script></html>但是没有成功，然后javascript:;和about:blank也没有通过，挺失落。
function escape(input) {
// apply strict filter rules of level 0
// filter ">" and event handlers
input = input.replace(/>|on.+?=|focus/gi, '_');
return '<input value="' + input + '" type="text">';
}
第六个
/>|on.+?=|focus/gi替换了>、onxxxx=和focus。通过input特殊的type类型。
`"type=image src onerror
="prompt(1)`
通过xss能做的事情
有很多，绝大多数的网络攻击行为都是把xss作为漏洞链中的第一环。通过xss，黑客可以得到的最直接的利益就是拿到用户浏览器（或者一些类浏览器app）的cookie。由于目前web系统中实现session的办法主要是cookie，所以一旦黑客拿到了用户的cookie，就可以劫持用户的session，从而变相达到盗取用户账号的目的。
xss也使黑客可以以受害用户的ip地址向其他站点发起web攻击，因为一切的攻击脚本都可以借受害用户的浏览器执行。
以这样的方式，将xss配合起csrf、sql注入等漏洞可以在短时间内对一个服务器发起大量攻击，并且服务端无法将攻击ip封死，因为ip是成百上千的xss受害者的ip。
2015年github遭遇的大规模DDOS，实际上就是黑客以某种方式把而已脚本植入到“熊场”的广告联盟iframe中，从而对github的某些接口实施攻击，最终达到DDOS的效果。
另外，持久性xss的传播性极强，由于web的特点是轻量级、灵活性高，每个用户每天都可能访问很多web站点，每个web站点每天都有成千上万的来访。所以将xss攻击配合起一些系统内核级的漏洞，完全可能在几个小时之内击垮几百万台智能设备。
如今的xss
相比网上很多资料中，在技术上已经发生了很大变化。由于各大网站加强了对于js脚本、html标签等关键信息的过滤，单纯依靠植入javascript代码很难实施攻击。
PC端页面，一些视频类、页游网站存在大量的flash内嵌在页面中，可以尝试将flash代码植入，往往可以规避网站安全过滤。移动端页面，可以植入native代码（android系统植入java，ios系统植入oc）。
总结
以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，如果有疑问大家可以留言交流，谢谢大家对我们的支持。
相关推荐
-
Web安全之XSS攻击与防御小结
Web安全之XSS攻防 1. XSS的定义 跨站脚本攻击(Cross Site Scripting),缩写为XSS.恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的. 2. XSS的原理 攻击者对含有漏洞的服务器发起XSS攻击(注入JS代码). 诱使受害者打开受到攻击的服务器URL. 受害者在Web浏览器中打开URL,恶意脚本执行. 3. XSS的攻击方式 (1)反射型: 发出请求时,XSS代码出现在U
-
PHP如何防止XSS攻击与XSS攻击原理的讲解
XSS又称CSS,全称Cross SiteScript(跨站脚本攻击), XSS攻击类似于SQL注入攻击,是Web程序中常见的漏洞,XSS属于被动式且用于客户端的攻击方式,所以容易被忽略其危害性.其原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码,当用户浏览该网站时,这段HTML代码会自动执行,从而达到攻击的目的.如,盗取用户Cookie信息.破坏页面结构.重定向到其它网站等. 理论上,只要存在能提供输入的表单并且没做安全过滤或过滤不彻底,都有可能存在XSS漏洞. 下面是一些最简
-
跨站脚本攻击XSS原理与防范实例分析
本文实例讲述了跨站脚本攻击XSS原理与防范.分享给大家供大家参考,具体如下: 跨站脚本攻击(Cross Site Script为了区别于CSS简称为XSS)指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的. 一个简单的留言板 我们有个页面用于允许用户发表留言,然后在页面底部显示留言列表 <!DOCTYPE html> <html> <head> <?php include(
-
也谈跨站脚本攻击与防御
网络上曾经有过关于跨站脚本攻击与防御的文章,但是随着攻击技术的进步,以前的关于跨站脚本攻击的看法与理论已经不能满足现在的攻击与防御的需要了,而且由于这种对于跨站脚本认识上的混乱,导致现在很多的程序包括现在的动网都存在着跨站脚本过滤不严的问题,希望本文能给写程序的与研究程序的带来一点思路. 还是首先看看跨站脚本漏洞的成因,所谓跨站脚本漏洞其实就是Html的注入问题,恶意用户的输入没有经过严格的控制进入了数据库最终显示给来访的用户,导致可以在来访用户的浏览器里以浏览用户的身份执行HTml代码,数据流
-
PHP常用工具函数小结【移除XSS攻击、UTF8与GBK编码转换等】
本文实例总结了PHP常用工具函数.分享给大家供大家参考,具体如下: 移除XSS攻击脚本 function RemoveXSS($val) { // remove all non-printable characters. CR(0a) and LF(0b) and TAB(9) are allowed // this prevents some character re-spacing such as <java\0script> // note that you have to handle
-
研究UBB的跨站脚本攻击之综合篇
近日,由于发现一些站点仍然存在UBB的跨站脚本攻击的漏洞.跨站脚本攻击虽然很少会对服务器造成一些什么比较大的影响,但对于一个站点来说,存在这种漏洞实在是太不值得!小则,弹点什么东东出来;中则改改主页;重则窃取用户的COOKIES资料,更甚者将会G掉浏览者的硬盘.一个站点被变成一个恶意网站,还有谁敢来?如果再加上该站的站长比较"盲"一些,岂不乱套了? 小小的一段代码就真的能使一个站点成这样?好叫我们来具体的看看所谓的跨站脚本攻击到底会成为什么样的攻击模式.进入一个含UBB功能的站点,比
-
跨站脚本攻击+Cookies欺骗(Discuz篇)
这次我拿Discuz示范给大家看,首先我们都知道,Discuz在pm.php的程式中,并没有对 会员名字做过滤,导致我们可以写入一些script. 聪明的同学们,想到了吗?我们正可以利用这个漏洞写一段获取cookies的script. 这是要像看到颜色 就会反应的!(取自 数学补习班= =") 所以我们先从本端 获取自己cookies看看... 例句: http://www.abc.com/pm.php?action=send&username=看啥?"><scri
-
UBB的跨站脚本攻击的漏洞
近日,由于发现一些站点仍然存在UBB的跨站脚本攻击的漏洞.跨站脚本攻击虽然很少会对服务器造成一些什么比较大的影响,但对于一个站点来说,存在这种漏洞实在是太不值得!小则,弹点 什么东东出来;中则改改主页;重则窃取用户的COOKIES资料,更甚者将会G掉浏览者的硬盘.一个站点被变成一个恶意网站,还有谁敢来?如果再加上该站的站长比较"盲"一些,岂不乱套了? 小小的一段代码就真的能使一个站点成这样?好叫我们来具体的看看所谓的跨站脚本攻击到底会成为什么样的攻击模式.进入一个含UBB功能的站点,比
-
字符集导致的浏览器跨站脚本攻击分析
|=-------------------------------–=| |=-----–=[ 字符集导致的浏览器跨站脚本攻击 ]=-----–=| |=-------------------------------–=| |=-------------=[ By jianxin ]=------------=| |=-----------=[ jianxin@80sec.com ]=----------=| |=--------------------------------=| 文中<已经被
-
最新的黑客技术：XSS跨站脚本攻击详细介绍
总体上介绍 简单介绍什么是XSS攻击 如何寻找XSS漏洞 对于XSS攻击的总体思路 来自内部的攻击: 如何寻找内部的XSS漏洞 如何构造攻击 如何利用 结何实例攻击,如DVBBS&BBSXP 来自外部的攻击 如何构造XSS攻击 如何欺骗管理员打开 XSS与其它技术的结何 与mssql injection的结合 QQ跨站的结何 国内大型统计网站的跨站漏洞 社会工程学 制作恐怖的flash木马 制作方法由李丰初写 总结 正文: XSS总体介绍 什么是XSS攻击 XSS又叫CSS (Cross Si
-
关于跨站脚本攻击问题
一般的攻击就是写一段脚本看是否能执行,就能判断是否是攻击了,比如说我写<script> alert("执行了我了哦!!!"); </script>,然后看看当页面加载的时候是否能执行,就行了.目前为止一般的网站这段代码都不会执行,但是换一种方式呢? 比如<SCRIPT>alert(String.fromCharCode(88,83,83))</SCRIPT>,估计也米有几个网站执行吧,大家都知道的. 下面看更猥琐的测试例子, '';!--