腳本之家服務器常用軟件

快捷導航

web網(wǎng)絡安全之跨站腳本攻擊(XSS)詳解

更新時間：2025年03月04日 09:07:23 作者：愛編程的小莊

這篇文章主要介紹了web網(wǎng)絡安全之跨站腳本攻擊(XSS)的相關(guān)資料,跨站腳本攻擊XSS是一種常見的Web安全漏洞,攻擊者通過注入惡意腳本誘使用戶執(zhí)行,可能導致竊取敏感信息或執(zhí)行惡意操作,需要的朋友可以參考下

前言

跨站腳本攻擊（XSS，Cross-Site Scripting） 是一種常見的 Web 安全漏洞，攻擊者通過向受信任的網(wǎng)站注入惡意腳本（通常是 JavaScript），誘使其他用戶在瀏覽時執(zhí)行這些惡意代碼。XSS 攻擊可能導致竊取用戶的敏感信息、冒充用戶行為、篡改網(wǎng)頁內(nèi)容，甚至執(zhí)行惡意操作如傳播惡意軟件。

XSS 的類型

XSS 攻擊通常可以分為以下幾種類型：

1. 存儲型 XSS（Stored XSS）

存儲型 XSS 是最危險的一種類型，攻擊者將惡意腳本存儲在服務器端，其他用戶訪問該頁面時，惡意腳本會在他們的瀏覽器中執(zhí)行。

示例：

攻擊者在留言板或評論區(qū)插入惡意腳本：
```
<script>alert('Your account is hacked!');</script>
```
攻擊者提交的惡意腳本被服務器存儲在數(shù)據(jù)庫中。
當其他用戶查看該留言時，惡意腳本從數(shù)據(jù)庫中讀取并執(zhí)行，可能導致用戶彈出警告框，或進行其他操作。

危害：

惡意腳本長期存儲在服務器中，可能影響大量用戶，給網(wǎng)站帶來嚴重的安全隱患。
攻擊者可以在用戶不知情的情況下竊取其身份信息或執(zhí)行敏感操作。

2. 反射型 XSS（Reflected XSS）

反射型 XSS 攻擊通過 URL 參數(shù)將惡意腳本發(fā)送到服務器，服務器返回并在頁面中直接反射該腳本，最終在用戶瀏覽器中執(zhí)行。

示例：

攻擊者構(gòu)造惡意鏈接，包含一個惡意腳本：
```
https://example.com/search?q=<script>alert('XSS!');</script>
```
用戶點擊鏈接后，服務器將 q 參數(shù)的值直接嵌入頁面響應中：
```
<h1>Search Results for: <script>alert('XSS!');</script></h1>
```
用戶瀏覽器執(zhí)行該腳本，觸發(fā)彈窗。

危害：

該攻擊通常在特定情況下（如用戶點擊惡意鏈接時）觸發(fā)，攻擊者可以通過郵件、社交網(wǎng)絡等渠道誘使用戶點擊。
惡意腳本執(zhí)行的后果通常為竊取用戶信息或惡意重定向。

3. DOM 型 XSS（DOM-based XSS）

DOM 型 XSS 攻擊不依賴于服務器返回的數(shù)據(jù)，而是直接通過客戶端的 JavaScript 操作頁面的 DOM（文檔對象模型）。攻擊者利用前端 JavaScript 代碼中未充分處理用戶輸入的部分來注入惡意腳本。

示例：

攻擊者構(gòu)造一個惡意鏈接，包含惡意腳本：
```
https://example.com/page#<script>alert('XSS!');</script>
```
頁面中的 JavaScript 代碼直接從 URL 哈希部分讀取內(nèi)容，并將其插入到 DOM 中：
```
javascript


復制編輯
document.body.innerHTML = location.hash.substring(1);
```
惡意腳本被注入頁面并執(zhí)行。

危害：

DOM 型 XSS 攻擊依賴客戶端 JavaScript 邏輯，如果前端沒有對 URL 參數(shù)進行適當清理，攻擊者可以利用這一點進行攻擊。
該攻擊不依賴服務器，因此有時比反射型 XSS 更難檢測和防范。

XSS 的危害

XSS 攻擊可能造成以下幾方面的危害：

竊取用戶敏感信息：
- 惡意腳本可以竊取用戶的 Cookie、會話令牌、輸入的數(shù)據(jù)等敏感信息。
- 通過執(zhí)行腳本，攻擊者可以獲取到用戶的身份認證信息，進行賬戶劫持。
冒充用戶行為：
- 攻擊者可以利用 XSS 執(zhí)行用戶操作，偽造用戶行為。例如，發(fā)送消息、轉(zhuǎn)賬、修改賬戶信息等，造成經(jīng)濟損失。
偽造頁面內(nèi)容：
- 攻擊者可以修改頁面的內(nèi)容，顯示虛假的信息，例如篡改銀行賬戶余額、偽造訂單詳情等，欺騙用戶進行進一步的操作。
傳播惡意軟件：
- 惡意腳本可以強制用戶下載惡意軟件，或?qū)⒂脩糁囟ㄏ虻结烎~網(wǎng)站，進一步感染用戶設備或竊取個人信息。

防御 XSS 攻擊的方法

1. 輸入驗證和清理

對用戶輸入的數(shù)據(jù)進行嚴格的驗證和清理，防止惡意代碼的注入。拒絕包含 HTML 元素、JavaScript 代碼或特殊字符的非法輸入。

示例：

使用專門的庫進行數(shù)據(jù)轉(zhuǎn)義（如 DOMPurify、html.escape）。
對用戶輸入的字符如 <, >, &, ", ' 等進行轉(zhuǎn)義。

let safeInput = DOMPurify.sanitize(userInput);

2. 輸出轉(zhuǎn)義

在將用戶輸入的內(nèi)容輸出到頁面時，進行適當?shù)霓D(zhuǎn)義處理，防止用戶輸入的代碼被執(zhí)行。確保對 HTML、JavaScript、CSS 和 URL 等輸出進行轉(zhuǎn)義。

示例：

對 HTML 輸出進行轉(zhuǎn)義：

<h1>Search Results for: {{ user_input | escape }}</h1>

使用模板引擎時，使用自動轉(zhuǎn)義功能，避免直接插入用戶輸入的內(nèi)容。

3. 使用內(nèi)容安全策略（CSP）

內(nèi)容安全策略（CSP）是一種通過 HTTP 頭部限制網(wǎng)頁加載資源（如 JavaScript）的機制。通過配置 CSP，可以防止惡意腳本的加載，減少 XSS 攻擊的風險。

示例：

設置 CSP 頭部，限制腳本來源：

Content-Security-Policy: script-src 'self' https://trusted-scripts.example.com;

限制不受信任的腳本執(zhí)行，從而避免執(zhí)行外部的惡意腳本。

4. 避免直接使用用戶輸入

盡量避免將用戶輸入直接插入到 HTML、JavaScript、CSS 等代碼中。尤其是動態(tài)構(gòu)建頁面時，應該使用 DOM 操作來生成內(nèi)容，而不是直接使用 innerHTML。

示例：

使用 textContent 或 setAttribute() 來插入內(nèi)容，而不是 innerHTML：

let elem = document.createElement("div");
elem.textContent = userInput;
document.body.appendChild(elem);

5. 禁用危險的 HTML 功能

前端代碼中避免使用危險的 DOM 操作方式，如 innerHTML、document.write() 等，這些方法允許注入 HTML 或 JavaScript，容易導致 XSS 攻擊。

6. Cookie 的安全設置

通過配置 Cookie 的安全屬性，防止惡意腳本竊取 Cookie 數(shù)據(jù)。

設置 HttpOnly 屬性，防止 JavaScript 訪問 Cookie：
```
Set-Cookie: sessionid=abc123; HttpOnly;
```
設置 SameSite 屬性，防止跨站請求攜帶 Cookie：
```
Set-Cookie: sessionid=abc123; SameSite=Strict;
```

7. 使用 HTTP Only 和 Secure 屬性

通過設置 Cookie 的 HttpOnly 和 Secure 屬性，確保 Cookie 只能通過服務器訪問，防止惡意 JavaScript 獲取敏感 Cookie。

Set-Cookie: sessionid=abc123; HttpOnly; Secure;

其他防護建議

定期審計和滲透測試：進行定期的安全審計和滲透測試，發(fā)現(xiàn)并修復 XSS 漏洞。可以使用自動化工具如 OWASP ZAP 來進行安全掃描。
教育開發(fā)人員和用戶：定期培訓開發(fā)人員，增強其對 XSS 攻擊的防范意識。用戶也應了解不要隨意點擊可疑鏈接，避免遭遇社交工程攻擊。
使用現(xiàn)代框架和庫：許多現(xiàn)代框架（如 React、Angular、Vue 等）默認實現(xiàn)了 XSS 防護機制，開發(fā)時應優(yōu)先選擇這些框架，以減少 XSS 攻擊的風險。