转载

[Web安全之实战] 跨站脚本攻击XSS

Writer：BYSocket（泥沙砖瓦浆木匠）

  • 微博： BYSocket
  • 豆瓣： BYSocket

Reprint it anywhere u want.

文章Points:
1. 认识XSS

2. XSS攻击

3. XSS防御(重点)

一、认识XSS先

先说个故事吧，在上一篇，我还想说这个案例。其实什么叫攻击，很简单。获取攻击者想要的信息，就黑成功了。抓到一个Tomcat漏洞（这不是我说的，一个认识的人说的），上传一个JSP，里面模拟HttpClient，下载一个木马，运行。OK,搞定了。所以，没有绝对的安全。

今天，泥瓦匠带你们认识下XSS，然后关于怎么防御的问题。至于防御的话，仁者见仁智者见智。尔等啥都不配不上的就绰见，望各位阅读者相互讨论。泥瓦匠目前是搞JAVA的，所以例子上JAVA比较多。

Q: 什么是XSS? 为啥有这个呢？

A: 全名：Cross Site Script，中文名：跨站脚本攻击。顾名思义，是指“HTML注入”纂改了网页，插入恶意的脚本，从而在用户用浏览网页的时候，控制用户浏览器的一种攻击。

XSS根据攻击的稳定性可分为三种：反射型XSS, 存储型XSS,DOM Based XSS.

[Web安全之实战] 跨站脚本攻击XSS

二、XSS攻击

再来了解下XSS，是如何攻击？泥瓦匠这时候想到一句话：知己知彼，百战百胜吧。这攻击我们不会很详细解释，毕竟想说的是XSS防御嘛。首先，泥瓦匠要介绍下的是：

XSS Playload,所谓用以完成各种具体的功能的恶意脚本。这时候我想到了黑客精神中的小插曲，现在所谓的“黑客”不是真正的黑客，而是称为脚本小子（Script Kid）。常见的一个XSS Playload，就是通过读取浏览器的Cookie对象，从而发起了‘Cookie劫持’攻击。这个泥瓦匠会教你们去防御哈，其中Cookie的‘HttpOnly’标识可以防止哦。

强大的XSS Playload可以做以下的事情哈：1、构造 GET 与 POST 请求 2、各种钓鱼 3、识别用户浏览器 等等
Q&A

Q：什么叫做钓鱼呢？
A：顾名思义，愿者上钩，这里做贬义用法。比如，人家用一个假的弹出框，或者假的页面让你输入QQ信息，或者啥账号信息。其实你一输入人家服务器获取到你的账户密码了。这就是鱼儿上钩了。 如图比喻：
[Web安全之实战] 跨站脚本攻击XSS

三、XSS防御(重点)

兵来将挡，水来土掩。泥瓦匠在Web安全上，想提醒大家的是：“再高的树，猴子也能爬上去。”因此，我们考虑的地方有些默认都给你做好了，有些需要我们自己去关心，去设置。

其实在看不到的地方很多已经对抗XSS做了些措施。比如各种浏览器等。

一、按着上面的思路，泥瓦匠先聊下Cookie，一个Cookie，我们是这样使用的：
1、浏览器下服务器发送请求，准备获取Cookie

2、服务器返回发送Cookie头，向客户端浏览器写入Cookie。（注意哦，这里是浏览器，不要当成什么浏览器内核）

3、在Cookie到期前，浏览器所有页面，都会发送Cookie。

这就意味着，我们Cookie不能乱用。就像Session一样，所以在使用的时候，要注意下。有时候Cooike在用于记住密码的时候，千万要注意要将Cookie设置HttpOnly属性为Ture。这里我以SpringMVC为例子。如果用到Cookie的时候，应该这样：

?
1
2
3
4
5
6
7

// create cookie and set it in response

Cookie cookie1 = new Cookie("cookie1", "cookieValueHttpOnly"); Cookie cookie2 = new Cookie("cookie2", "cookieValue"); cookie1.setHttpOnly(true); response.addCookie(cookie1); response.addCookie(cookie2);

截个Controller整个代码看看：
[Web安全之实战] 跨站脚本攻击XSS

我们打开浏览器可以看到下面这种结果，访问URL这个Controller层，打开Firebug查看：
[Web安全之实战] 跨站脚本攻击XSS

二、输入校验

输入校验的逻辑必须放在服务端中实现。如果用JS进行的话，容易被攻击者绕过去。所以普遍的做法是，类似很多代码一样进行Double Check:”客户端JS校验和服务端校验一起，这样客户端JS校验会阻挡大部分甚至说99%的用户的误操作。”

在XSS防御上，我们需要对用户输入的一些特殊字符校验，过滤或者是编码。这种输入校验的方式成为“XSS Filter”。首先我们在配置文件中，

[Web安全之实战] 跨站脚本攻击XSS 其中的路径配置当然，在你需要的地方配置下咯。然后泥瓦匠在这里写了个，Http请求装饰类，用来对这些参数的过滤。说干就干呗~实战出经验。

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {

public XssHttpServletRequestWrapper(HttpServletRequest request)

{

super(request);

}

public String[] getParameterValues(String parameter)

{

String[] values = super.getParameterValues(parameter);

if (values==null)

{

return null;

}

int count = values.length;

String[] encodedValues = new String[count];

for (int i = 0; i < count ; i++)

{

encodedValues[i] = cleanXSS(values[i]);

}

return encodedValues;

}

public String getParameter(String parameter)

{

String value = super .getParameter(parameter);

if (value == null)

{

return null;

}

return cleanXSS(value);

}

public String getHeader(String name)

{

String value = super .getHeader(name);

if (value == null)

return null;

return cleanXSS(value);

}

/**

* @Title: cleanXSS

* @Description: You'll need to remove the spaces from the html entities below

* @param @param value

* @param @return

* @return String

*/

private String cleanXSS(String value)

{

value = value.replaceAll("<", "& lt;").replaceAll(">", "& gt;");

value = value.replaceAll("//(", "& #40;").replaceAll("//)", "& #41;");

value = value.replaceAll("'", "& #39;");

value = value.replaceAll("eval//((.*)//)", "");

value = value.replaceAll("[///"///'][//s]*javascript:(.*)[///"///']", "/"/"");

value = value.replaceAll("script", "");

return value;

}

}

三、输出校验

一般来说，除了富文本之外，在变量输出到HTML页面，可以使用编码或者转义的方式来防御XSS攻击。这是一种各家委婉的方式吧。

四、总结

用兵之道在于，如何正确的使用，才能以少胜多。Web安全这场战争也一样，所以要如何正确的使用XSS防御。

Writer：BYSocket（泥沙砖瓦浆木匠）

  • 微博： BYSocket
  • 豆瓣： BYSocket

Reprint it anywhere u want.

正文到此结束
所属分类： 编程技术

热门推荐

相关文章

阿里云首购8折
说给你听

本文目录
随机标签
书籍教程
Java入门教程 bootstrap3 CSS Apache基础教程 springboot-demo php ionic 教程 Python mysql教程 eclipse Ubuntu VPS系统配置 AngularJS 教程 Struts2教程 MongoDB教程 Redis教程 Spring教程 Git教程 Jenkins进阶系列 openfire参考指南 Java设计模式 HBase教程 Maven教程 hibernate教程 Docker 教程 memcached教程 Quartz指南 SpringCloud ANTLR教程 Hive教程 java实例教程 Ant教程 Hazelcast教程 Elastic-Job-Lite XStream教程 深入浅出MyBatis SVN教程 ibaties教程 rabittmq教程 WebService CXF学习 Hadoop教程 solr教程 JPA教程 ActiveMQ中文指南 Java内存模型 dubbo教程 Linux入门视频教程
近期评论
  1. 1 Spring Boot集成zipkin快速入门Demo
  2. 2 能用365块大洋去解决的事，千万不要用时间
  3. 3 Spring Boot集成atomikos快速入门Demo
  4. 4 Spring Boot集成fastdfs快速入门Demo
  5. 5 Spring Boot集成Https快速入门Demo
  6. 6 Spring Boot集成easypoi快速入门Demo
  7. 7 Spring Boot集成webflux快速入门Demo
  8. 8 Spring Boot集成Graphql快速入门Demo
  9. 9 Spring Boot API 多版本快速入门Demo
  10. 10 Spring Boot内容协商快速入门Demo
网站信息
  • 文章总数：155,459 篇
  • 文件总数：468,740 个
  • 标签总数：2,264 个
  • 分类总数：90 个
  • 留言数量：2,540 条
  • 在线人数：658 人
  • 运行天数：4,193天
  • 最后更新：2024年04月20日16点
Loading...

其他链接

关于本站

本站定位：个人技术类博客

本站作用：写博客、记日志、闲聊扯淡鼓捣技术。

问题交流

[HBLOG]公众号 HBLOG HBLOG