xss跨站脚本攻击_计算机软件及应用_IT计算机_专业资料

《xss跨站脚本攻击_计算机软件及应用_IT计算机_专业资料》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、1.1什么是XSS攻击XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到捉供给其它用户使用的页而屮。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(sameoriginpolicy)o这种类型的漏洞由于被黑客用來编写危害性更大的网络钓鱼(Phishing)攻击而变得广为人知。对于跨站脚木攻击，黑客界共识是：跨站脚木攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。在2007年OWASP所统计的所冇安全威胁屮,跨站脚本攻击占到了22%,高居所有Web威胁Z首。XS

2、S攻击的危害包括1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号2、控制企业数据，包扌舌读取、巫改、添加、删除企业敏感数据的能力3、盗窃企业重要的具冇商业价值的资料4、非法转账5、强制发送电子邮件6、网站挂马7、控制受害者机器向其它网站发起攻击1.2XSS漏洞的分类XSS漏洞按照攻击利用手法的不同，有以下三种类型：类型A,本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。其攻击过程如下所示：Alice给Bob发送一个恶意构造了Web的URL。Bob点击并查看了这个URL。恶意页面屮的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。

3、具冇漏洞的HTML页而包含了在Bob电脑本地域执行的JavaScriptoAlice的恶意脚本可以在Bob的电脑上执行Bob所持有的权限卜•的命令。类型B,反射式漏洞，这种漏洞和类型A冇些类似，不同的是Web客户端使用Server端脚木生成页面为用户提供数据吋，如果未经验证的用户数据被包含在页而屮而未经HTML实体编码，客户端代码便能够注入到动态页而屮。其攻击过程如K：Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点运行Alice使用用户名/密码进行登录，并存储敏感信息（比如银行帐户信息）。Charly发现Bob的站点包含反射性的XSS漏洞。Charly编写一个

4、利用漏洞的URL,并将其冒充为来自Bob的邮件发送给Alice。Alice在登录到Bob的站点后，浏览Charly提供的URL。嵌入到URL屮的恶意脚木在Alice的浏览器小执行，就像它直接来自Bob的服务器一样。此脚本盗窃敏感信息（授权、信用卡、帐号信息等）然后在Alice完全不知情的情况下将这些信息发送到Charly的Web站点。类型C,存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所冇访问该页面的用户都面临信息泄漏的可能，其屮也包括了Web服务器的管理员。其攻击过程如下：Bob拥有一个Web站点，该站

5、点允许用户发布信息/浏览已发布的信息。Charly注意到Bob的站点具有类型C的XSS漏洞。Charly发布一个热点信息，吸引其它用户纷纷阅读。Bob或者是任何的其他人如Alice浏览该信息，其会话cookies或者其它信息将被Charly盗走。类型A直接威胁用户个体，而类型B和类型C所威胁的对象都是企业级Web应用。传统防御技术编辑2.1.1基于特征的防御XSS漏洞和著名的SQL注入漏洞一•样，都是利用了Web页面的编写不完善，所以毎一个漏洞所利用和针对的弱点都不尽相同。这就给XSS漏洞防御带来了困难：不可能以单一特征来概括所冇XSS攻击。传统xss防御多采用特征匹配方式，

6、在所冇捉交的信息屮都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。这种检测方法的缺陷显而易见：骇客可以通过插入字符或完全编码的方式躲避检测：躲避方法1)在javascript屮加入多个tab键，得到；躲避方法2)在javascript中加入(空格)字符，得到;躲避方法3)在javascript中加入(冋车

7、)字符，得到;躲避方法4)在javascript中的每个字符间加入回车换行符，得到躲避方法5)对“javascript:alert('XSS')”釆用完全编码，得到上述方法都可以很容易的躲避基于特征的检测。而除了会冇大量的漏报外,基于特征的还存在大量的误报可能：在上面的例子中，对上述某网站这