XSS攻击

XSS攻击

1 XSS简介

       XSS跨站脚本攻击（Cross Site Scripting），就是攻击者在web页面插入恶意的script代码，当用户浏览该页面之时，嵌入其中web里面的script代码会被执行，从而达到恶意攻击用户的特殊目的。

2 XSS的类型

2.1 反射型XSS

       反射型XSS只是简单的把用户输入的数据“反射”给浏览器。也就是说需要诱使用户“点击”一个恶意链接，才能攻击成功。反射型XSS也叫作“非持久型XSS”。

2.2 存储型XSS

       存储型XSS会把用户输入的数据“存储”在服务器端。这种XSS具有很强的稳定性。

2.3 DOM Based XSS

       DOM Based XSS是基于文档对象模型（document object model，DOM）的一种漏洞，是一种利用前端代码漏洞进行攻击的攻击方式。前面的反射型XSS和存储型XSS虽然恶意脚本的存放位置不同，但是其本质都是利用后端代码的漏洞。

3 XSS防御

3.1 HttpOnly

       HttpOnly最早由微软提出，并在IE6中实现，至今已逐渐成为一个标准。浏览器将禁止页面的JavaScript访问带有HttpOnly属性的Cookie。HttpOnly是在Set-Cookie时标记的。

       一个Cookie的使用过程如下：

1. 浏览器向服务器发送请求，这时候没有Cookie
2. 服务器返回同时，发送Set-Cookie头，向客户端浏览器写入Cookie
3. 在该Cookie到期前，浏览器访问该域名下所有的页面，都将发送该Cookie

3.2 输入检查

       常见的Web漏洞，如XSS、SQL注入等，都要求攻击者构造一些特殊的字符串，而这些字符串是一般用户不会用到的，所以进行输入检查就很有必要了。

输入检查可以在用户输入的格式检查中进行。很多网站的用户名都要求是字母及数字的组合如“abc1234”，其实也能过滤一部分的XSS和SQL注入。但是，这种在客户端的限制很容易被绕过，攻击者可以用JavaScript或一些请求工具，直接构造请求，向网站注入XSS或者SQL。所以，除了在客户端进行格式检查，往往还需要在后端进行二次检查。客户端的检查主要作用是阻挡大部分误操作的正常用户，从而节约服务器资源。

3.3 对输出转义

       在输出数据之前对潜在的威胁的字符进行编码、转义是防御XSS攻击十分有效的措施。