文章Points:
1. 认识XSS

2. XSS攻击

3. XSS防御(重点)

一、认识XSS先

先说个故事吧，在上一篇，我还想说这个案例。其实什么叫攻击，很简单。获取攻击者想要的信息，就黑成功了。抓到一个Tomcat漏洞（这不是我说的，一个认识的人说的），上传一个JSP，里面模拟HttpClient，下载一个木马，运行。OK,搞定了。所以，没有绝对的安全。

今天，泥瓦匠带你们认识下XSS，然后关于怎么防御的问题。至于防御的话，仁者见仁智者见智。尔等啥都不配不上的就绰见，望各位阅读者相互讨论。泥瓦匠目前是搞JAVA的，所以例子上JAVA比较多。

Q: 什么是XSS? 为啥有这个呢？

A: 全名：Cross Site Script，中文名：跨站脚本攻击。顾名思义，是指“HTML注入”纂改了网页，插入恶意的脚本，从而在用户用浏览网页的时候，控制用户浏览器的一种攻击。

XSS根据攻击的稳定性可分为三种：反射型XSS, 存储型XSS,DOM Based XSS.

二、XSS攻击

再来了解下XSS，是如何攻击？泥瓦匠这时候想到一句话：知己知彼，百战百胜吧。这攻击我们不会很详细解释，毕竟想说的是XSS防御嘛。首先，泥瓦匠要介绍下的是：

XSS Playload,所谓用以完成各种具体的功能的恶意脚本。这时候我想到了黑客精神中的小插曲，现在所谓的“黑客”不是真正的黑客，而是称为脚本小子（Script Kid）。常见的一个XSS Playload，就是通过读取浏览器的Cookie对象，从而发起了‘Cookie劫持’攻击。这个泥瓦匠会教你们去防御哈，其中Cookie的‘HttpOnly’标识可以防止哦。

强大的XSS Playload可以做以下的事情哈：1、构造 GET 与 POST 请求 2、各种钓鱼 3、识别用户浏览器 等等
Q&A

Q：什么叫做钓鱼呢？
A：顾名思义，愿者上钩，这里做贬义用法。比如，人家用一个假的弹出框，或者假的页面让你输入QQ信息，或者啥账号信息。其实你一输入人家服务器获取到你的账户密码了。这就是鱼儿上钩了。 如图比喻：

三、XSS防御(重点)

兵来将挡，水来土掩。泥瓦匠在Web安全上，想提醒大家的是：“再高的树，猴子也能爬上去。”因此，我们考虑的地方有些默认都给你做好了，有些需要我们自己去关心，去设置。

其实在看不到的地方很多已经对抗XSS做了些措施。比如各种浏览器等。

一、按着上面的思路，泥瓦匠先聊下Cookie，一个Cookie，我们是这样使用的：
1、浏览器下服务器发送请求，准备获取Cookie

2、服务器返回发送Cookie头，向客户端浏览器写入Cookie。（注意哦，这里是浏览器，不要当成什么浏览器内核）

3、在Cookie到期前，浏览器所有页面，都会发送Cookie。

这就意味着，我们Cookie不能乱用。就像Session一样，所以在使用的时候，要注意下。有时候Cooike在用于记住密码的时候，千万要注意要将Cookie设置HttpOnly属性为Ture。这里我以SpringMVC为例子。如果用到Cookie的时候，应该这样：

?
1
2
3
4
5
6
7
         // create cookie and set it in response
Cookie cookie1 = new Cookie("cookie1", "cookieValueHttpOnly");
Cookie cookie2 = new Cookie("cookie2", "cookieValue");
cookie1.setHttpOnly(true);
response.addCookie(cookie1);
response.addCookie(cookie2);

截个Controller整个代码看看：

我们打开浏览器可以看到下面这种结果，访问URL这个Controller层，打开Firebug查看：

二、输入校验

输入校验的逻辑必须放在服务端中实现。如果用JS进行的话，容易被攻击者绕过去。所以普遍的做法是，类似很多代码一样进行Double Check:”客户端JS校验和服务端校验一起，这样客户端JS校验会阻挡大部分甚至说99%的用户的误操作。”

在XSS防御上，我们需要对用户输入的一些特殊字符校验，过滤或者是编码。这种输入校验的方式成为“XSS Filter”。首先我们在配置文件中，

其中的路径配置当然，在你需要的地方配置下咯。然后泥瓦匠在这里写了个，Http请求装饰类，用来对这些参数的过滤。说干就干呗~实战出经验。

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper
{
    public XssHttpServletRequestWrapper(HttpServletRequest request)
    {
        super(request);
    }
    public String[] getParameterValues(String parameter)
    {
        String[] values = super.getParameterValues(parameter);
        if (values==null)
        {
            return null;
        }
        int count = values.length;
        String[] encodedValues = new String[count];
        for (int i = 0; i < count; i++)
        {
            encodedValues[i] = cleanXSS(values[i]);
        }
        return encodedValues;
    }
    public String getParameter(String parameter)
    {
        String value = super.getParameter(parameter);
        if (value == null)
        {
            return null;
        }
        return cleanXSS(value);
    }
    public String getHeader(String name)
    {
        String value = super.getHeader(name);
        if (value == null)
            return null;
        return cleanXSS(value);
    }
    /**
      * @Title: cleanXSS
      * @Description: You'll need to remove the spaces from the html entities below
      * @param @param value
      * @param @return
      * @return String
      */
    private String cleanXSS(String value)
    {
        value = value.replaceAll("<", "& lt;").replaceAll(">", "& gt;");
        value = value.replaceAll("\\(", "& #40;").replaceAll("\\)", "& #41;");
        value = value.replaceAll("'", "& #39;");
        value = value.replaceAll("eval\\((.*)\\)", "");
        value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");
        value = value.replaceAll("script", "");
        return value;
    }
}

三、输出校验

一般来说，除了富文本之外，在变量输出到HTML页面，可以使用编码或者转义的方式来防御XSS攻击。这是一种各家委婉的方式吧。

四、总结

用兵之道在于，如何正确的使用，才能以少胜多。Web安全这场战争也一样，所以要如何正确的使用XSS防御。

Writer：BYSocket（泥沙砖瓦浆木匠）

  • 微博：BYSocket
  • 豆瓣：BYSocket

Reprint it anywhere u want.

[Web安全之实战] 跨站脚本攻击XSS相关推荐

  1. 跨站脚本攻击XSS：为什么cookie中有httpOnly属性

    跨站脚本攻击XSS:为什么cookie中有httpOnly属性 通过上篇文章的介绍,我们知道了同源策略可以隔离各个站点之间的 DOM 交互.页面数据和网络通信,虽然严格的同源策略会带来更多的安全,但是 ...

  2. 跨站脚本攻击—XSS

    XSS 介绍 XSS 是跨站脚本攻击(Cross Site Scripting)的简写,但是从首写字母命名的方式来看,应该取名 CSS,但这样就和层叠样式表(Cascading Style Sheet ...

  3. 「第三章」跨站脚本攻击(XSS)

    批注[--] 表示他人.自己.网络批注参考资料来源于* 书中批注* CSDN* GitHub* Google* 维基百科* YouTube* MDN Web Docs由于编写过程中无法记录所有的URL ...

  4. 跨站脚本攻击XSS（最全最细致的靶场实战）

    一.XSS跨站漏洞 (1)XSS简介   网站中包含大量的动态内容以提高用户体验,比过去要复杂得多.所谓动态内容,就是根据用户环境和需要,Web应用程序能够输出相应的内容.动态站点会受到一种名为&qu ...

  5. 跨站脚本攻击(XSS)FAQ

    原作者charlee.原始链接http://tech.idv2.com/2006/08/30/xss-faq/以及本声明. 该文章简单地介绍了XSS的基础知识及其危害和预防方法.Web开发人员的必读. ...

  6. 跨站请求伪造(CSRF)+ 跨站脚本攻击(XSS)

    一.CSRF 跨站请求伪造(英语:Cross-site request forgery),也被称为 one-click attack 或者 session riding,通常缩写为 CSRF 或者 X ...

  7. 跨站脚本攻击(XSS)详解

    XSS简介 XSS(Cross Site Script)攻击,通常指黑客通过"HTML注入"篡改了网页,插入了恶意的脚本,从而在用户浏览网页时,控制用户浏览器的一种攻击. 一开始, ...

  8. 网站安全系列：跨站脚本攻击XSS

    本篇博文主要从概念和应用上介绍XSS,主要内容来源于<白帽子讲web安全> XSS核心本质 XSS实际上是一种HTML注入,用户输入的数据被当成HTML的一部分来执行.防御方法核心是输入检 ...

  9. 跨站脚本攻击 XSS原理

    个人对XSS攻击的笔记 原理:对可以控制传参的位置,比如url链接中,输入框中,首先闭合输出参数位置前后网页标签,在闭合的中间加上JavaScript代码或者其他的html标签,使得网页能够执行你添加 ...

最新文章

  1. 一个不定宽高的元素如何在父元素中垂直水平居中
  2. Django   MVC
  3. OpenCV2：图像滤波基础
  4. windows下安装Oracle10G
  5. 24、jdbc操作数据库（1）
  6. 图解算法学习笔记（四）：快速排序
  7. InfoPath中repeationg section动态填充数据
  8. Java 生成随机数并进行查找
  9. 解决MySQL登录1045错误
  10. 《2017中国云计算评测报告》
  11. Python 爬虫监控女神的QQ空间新的说说,实现秒赞,并发送说说内容到你的邮箱
  12. 计算机控制键功能,电脑ctrl键的作用大全
  13. 赠人玫瑰，手有余香，今日份黑科技软件五款奉上
  14. Python进阶实战 1.0 ：爬取豆瓣TOP250电影排行榜
  15. Vue+el-table实现不规则表格
  16. 大作业-电影推荐系统
  17. android技术篇（三）解密data区
  18. burpsuite实现抓Windows for Android(WSA)包
  19. 双鱼与水瓶会有未来吗(图
  20. 用阻塞队列LinkedBlockingQueue实现生产者消费者先进先出

热门文章

  1. Linux系统捕获数据包流程
  2. SQL2K数据库开发十一之表操作创建UNIQUE约束
  3. android响铃停止源代码,android – 如何停止当前正在播放的铃声？
  4. servlet文件上传blob_servlet实现从oracle数据库的blob字段中读出文件并显示 | 学步园...
  5. C 语言编程 — 高级数据类型 — void 类型
  6. VMware 虚拟化编程(12) — VixDiskLib Sample 程序使用
  7. Arduino方式开发ESP32笔记：使用Preferences保存数据
  8. Dynatrace DPM数字性能管理方案确保安吉星领跑车联网技术
  9. 状态模式在领域驱动设计中的使用
  10. Debian8.8解决双系统访问windows磁盘时，有时能成功挂载，有时不能成功挂载的情况...