摘要：我把這個領(lǐng)域的東西寫成了一個系列，以后還會繼續(xù)完善下去安全一同源策略與跨域安全二攻擊安全三攻擊
上文說完了CSRF攻擊，本文繼續(xù)研究它的兄弟XSS攻擊。
什么是XSS攻擊
XSS攻擊全名（Cross-Site-Script）跨域腳本攻擊，為了跟CSS（Cascading-Style-Sheet）區(qū)分開來，所以縮寫是XSS。
XSS攻擊的原理
上一節(jié)說道的CSRF攻擊是利用的是“偽請求”，這一節(jié)的XSS的原理是利用腳本注入的方式。
主要是依靠一切可能的手段，將瀏覽器中可以執(zhí)行的腳本(javascript)植入到頁面代碼中，從而獲取用戶cookie甚至賬號密碼等敏感數(shù)據(jù)使用戶造成的一定的損失。
通常利用的是目標(biāo)網(wǎng)站的發(fā)帖、發(fā)布產(chǎn)品等需要用戶輸入的地方，將腳本混淆到html輸入中，上傳到服務(wù)器，再誘導(dǎo)別的用戶打開此頁面，執(zhí)行腳本的一個過程。
XSS攻擊的方法
xss漏洞是對web客戶端（瀏覽器）的攻擊，所以說植入的代碼基本上以javascript和html標(biāo)簽(有時也有結(jié)合css樣式的xss向量)為主。
一般有四種方法：
頁面標(biāo)簽附帶腳本
Dom 屬性附帶腳本
請求地址附帶腳本
回車空格突破過濾限制
舉兩個小李子：
XSS攻擊防御的手段
因?yàn)閄SS的根本就是向網(wǎng)站插入腳本代碼，并使它運(yùn)行的一種手段。防御方法分為兩種，服務(wù)端防御和客戶端防御。
服務(wù)端防御：
1. HttpOnly
可以限制javascript不能讀取cookie，防止會話ID泄露
2.處理富文本
過濾掉富文本中的敏感標(biāo)簽如（script、iframe、form），還有敏感詞（javascript:） 等等
客戶端防御：
1. 輸入檢查
防止輸入敏感字段，如javascript、cookie等等
2. 檢查輸出
腳本都是通過混淆在HTML當(dāng)中，被當(dāng)成html代碼的一部分才得到執(zhí)行。
可以通過編碼轉(zhuǎn)義的辦法，使得混淆在其中的腳本被當(dāng)成文本處理，不會被執(zhí)行。
編碼轉(zhuǎn)義的話，有三種方法：
*1. HTML encode*
將字符轉(zhuǎn)換成HTMLEntities，一般會轉(zhuǎn)（&、<、>、"、"、/）這6個字符。一般是在html標(biāo)簽屬性輸出的時候使用
*2. JavaScriptEncode*
使用”“對特殊字符進(jìn)行轉(zhuǎn)義。
一般在script標(biāo)簽輸出、事件輸出、CSS輸出
*3. URL Encode*
使用URLEncode的方法。
參考：
XSS的原理分析與解剖
跨站腳本攻擊（XSS）——常見網(wǎng)站攻擊手段原理與防御
XSS攻擊及防御
XSS攻擊的解決方法
【相關(guān)】
web安全，是一個很重要的技能，也是一個領(lǐng)域的知識。我把這個領(lǐng)域的東西寫成了一個系列，以后還會繼續(xù)完善下去：
web安全一：同源策略與跨域
web安全二：CSRF 攻擊
web安全三：XSS 攻擊
文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/11347.html
