網(wǎng)絡(luò)安全—xss

jackzou 發(fā)布于2019-08-30 15:53 / 1998人閱讀

1.xss的攻擊原理

需要了解 Http cookie ajax,Xss(cross-site scripting)攻擊指的是攻擊者往Web頁(yè)面里插入惡意html標(biāo)簽或者javascript代碼。比如：攻擊者在論壇中放一個(gè)看似安全的鏈接，騙取用戶點(diǎn)擊后，竊取cookie中的用戶私密信息；或者攻擊者在論壇中加一個(gè)惡意表單，當(dāng)用戶提交表單的時(shí)候，卻把信息傳送到攻擊者的服務(wù)器中，而不是用戶原本以為的信任站點(diǎn)

2.攻擊方式，防范Xss

反射型

就是將帶有攻擊性的XSS 代碼放入到URL中，作為參數(shù)提交到服務(wù)器，也就是類似Get方式提交表單，服務(wù)器響應(yīng)之后，XSS代碼隨響應(yīng)內(nèi)容一起傳回給瀏覽器，最后瀏覽器解析執(zhí)行XSS 代碼，這個(gè)過(guò)程就叫做反射性XSS。
經(jīng)常通過(guò)這種方式植入廣告--

存儲(chǔ)型

存儲(chǔ)型類似于post的提交的方式，提交到服務(wù)器端（數(shù)據(jù)庫(kù)，內(nèi)訓(xùn)，文件系統(tǒng)==）

Dom XSS

3.XSS的防范措施

首先代碼里對(duì)用戶輸入的地方和變量都需要仔細(xì)檢查長(zhǎng)度和對(duì)”<”,”>”,”;”,”’”等字符做過(guò)濾；其次任何內(nèi)容寫(xiě)到頁(yè)面之前都必須加以encode，避免不小心把html tag 弄出來(lái)。這一個(gè)層面做好，至少可以堵住超過(guò)一半的XSS 攻擊

編碼

encode 編碼，entity

過(guò)濾
用正則過(guò)濾一些不合法的輸入，比如dom 的相關(guān)屬性，onerror，onclick,移除用戶上傳的style，script節(jié)點(diǎn)，iframe，link節(jié)點(diǎn)等等。這樣的會(huì)被注入廣告，還有一些鏈接，鼠標(biāo)經(jīng)過(guò)，觸發(fā)一些CSRF 攻擊。他們都有執(zhí)行樣式和腳本的執(zhí)行。

校正
避免直接對(duì)html entity解碼
DOM parse 轉(zhuǎn)換（整個(gè)字符串解析成DOM字符串，當(dāng)文本處理），校正不配對(duì)的DOM標(biāo)簽

詳細(xì)內(nèi)容請(qǐng)參考,這片入門(mén)文章寫(xiě)的不錯(cuò)的哦！

GPU云服務(wù)器云服務(wù)器 XSS xss asp linux -xss XSS漏洞

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/116699.html

相關(guān)文章

XSS分析及預(yù)防

摘要：分析及預(yù)防，又稱跨站腳本，的重點(diǎn)不在于跨站點(diǎn)，而是在于腳本的執(zhí)行。在這里需要強(qiáng)調(diào)一點(diǎn)的是，默認(rèn)會(huì)禁止代碼塊的執(zhí)行禁止內(nèi)聯(lián)事件處理函數(shù)禁止內(nèi)聯(lián)樣式禁止和。 XSS分析及預(yù)防 XSS（Cross Site Scripting），又稱跨站腳本，XSS的重點(diǎn)不在于跨站點(diǎn)，而是在于腳本的執(zhí)行。在WEB前端應(yīng)用日益發(fā)展的今天，XSS漏洞尤其容易被開(kāi)發(fā)人員忽視，最終可能造成對(duì)個(gè)人信息的泄漏。如今，...

smartlion 2019-08-19 18:13 評(píng)論0 收藏0
【面試篇】寒冬求職之你必須要懂的Web安全

摘要：禁止內(nèi)聯(lián)腳本執(zhí)行規(guī)則較嚴(yán)格，目前發(fā)現(xiàn)使用。典型的攻擊流程受害者登錄站點(diǎn)，并保留了登錄憑證。站點(diǎn)接收到請(qǐng)求后，對(duì)請(qǐng)求進(jìn)行驗(yàn)證，并確認(rèn)是受害者的憑證，誤以為是無(wú)辜的受害者發(fā)送的請(qǐng)求。攻擊完成，攻擊者在受害者不知情的情況下，冒充受害者完成了攻擊。隨著互聯(lián)網(wǎng)的發(fā)展，各種Web應(yīng)用變得越來(lái)越復(fù)雜，滿足了用戶的各種需求的同時(shí)，各種網(wǎng)絡(luò)安全問(wèn)題也接踵而至。作為前端工程師的我們也逃不開(kāi)這個(gè)問(wèn)題，今天一起...

yeyan1996 2019-06-18 11:16 評(píng)論0 收藏0
【面試篇】寒冬求職之你必須要懂的Web安全

摘要：禁止內(nèi)聯(lián)腳本執(zhí)行規(guī)則較嚴(yán)格，目前發(fā)現(xiàn)使用。典型的攻擊流程受害者登錄站點(diǎn)，并保留了登錄憑證。站點(diǎn)接收到請(qǐng)求后，對(duì)請(qǐng)求進(jìn)行驗(yàn)證，并確認(rèn)是受害者的憑證，誤以為是無(wú)辜的受害者發(fā)送的請(qǐng)求。攻擊完成，攻擊者在受害者不知情的情況下，冒充受害者完成了攻擊。隨著互聯(lián)網(wǎng)的發(fā)展，各種Web應(yīng)用變得越來(lái)越復(fù)雜，滿足了用戶的各種需求的同時(shí)，各種網(wǎng)絡(luò)安全問(wèn)題也接踵而至。作為前端工程師的我們也逃不開(kāi)這個(gè)問(wèn)題，今天...

charles_paul 2019-08-26 13:45 評(píng)論0 收藏0
網(wǎng)絡(luò)安全xss

一、XSS漏洞原理XSS，即跨站腳本攻擊，是指攻擊者利用Web服務(wù)器中的應(yīng)用程序或代碼漏洞，在頁(yè)面中嵌入客戶端腳本（通常是一段由JavaScript編寫(xiě)的惡意代碼，少數(shù)情況下還有ActionScript、VBScript等語(yǔ)言），當(dāng)信任此Web服務(wù)器的用戶訪問(wèn)Web站點(diǎn)中含有惡意腳本代碼的頁(yè)面或打開(kāi)收到的URL鏈接時(shí)，用戶瀏覽器會(huì)自動(dòng)加載并執(zhí)行該惡意代碼，從而達(dá)到攻擊的目的。當(dāng)應(yīng)用程序沒(méi)有對(duì)用戶提...

attack_tubai 2022-12-06 22:55 評(píng)論0 收藏0
【譯】Excess-XSS 一份關(guān)于 XSS 的綜合教程

摘要：示例攻擊如何進(jìn)行下圖展示了攻擊者如何進(jìn)行攻擊攻擊者利用網(wǎng)站的表單插入惡意字符串到網(wǎng)站數(shù)據(jù)庫(kù)中。恰恰相反，至少有兩種常見(jiàn)的方式，會(huì)導(dǎo)致受害者發(fā)起針對(duì)自己的反射型攻擊。攻擊者精心構(gòu)造了一個(gè)包含惡意字符串的，將其發(fā)送給受害者。原文地址：http://excess-xss.com/。如有翻譯不當(dāng)之處，歡迎指出 :D 分為四部分：概述 XSS 攻擊 XSS 防御總結(jié) 第一部分：概述 X...

timger 2019-06-21 16:29 評(píng)論0 收藏0
關(guān)于 Web 安全，99% 的網(wǎng)站都忽略了這些

摘要：比如基于的方法我認(rèn)為只有是正當(dāng)?shù)睦@過(guò)同源策略的方法同源策略是瀏覽器安全策略的基礎(chǔ)，但同源策略面對(duì)很多攻擊是無(wú)能為力的，比如跨站腳本攻擊，名字跟同源策略很像，事實(shí)上他們之間基本沒(méi)有關(guān)系。作者：肖光宇野狗科技聯(lián)合創(chuàng)始人，先后在貓撲、百度、搜狗任職，愛(ài)折騰的前端工程師。野狗官博：https://blog.wilddog.com/ 野狗官網(wǎng)：https://www.wilddog.com...

olle 2019-08-01 14:54 評(píng)論0 收藏0