渗透测试-一文读懂XSS、CSRF、SSRF、XXE漏洞原理、应用、防御

炫彩@之星

已于 2023-01-20 10:29:55 修改

阅读量2.8k

点赞数 1

分类专栏：渗透测试文章标签：安全性测试 web安全安全

于 2022-08-25 07:55:37 首次发布

本文链接：https://blog.csdn.net/lza20001103/article/details/126513787

版权

渗透测试专栏收录该内容

103 篇文章 80 订阅

订阅专栏

一文读懂XSS、CSRF、SSRF、XXE漏洞原理、应用、防御

文章目录

一文读懂XSS、CSRF、SSRF、XXE漏洞原理、应用、防御
一、相同点与不同点
二、防御
- 1、XSS
2、CSRF
3、SSRF
4、XXE
三、面试题

一、相同点与不同点

相同点

XSS，CSRF,SSRF三种常见的Web服务端漏洞均是由于，服务器端对用户提供的可控数据过于信任或者过滤不严导致的。

不同点

XSS是服务器对用户输入的数据没有进行足够的过滤，导致客户端浏览器在渲染服务器返回的html页面时，出现了预期值之外的脚本语句被执行。

CSRF(跨站请求伪造)是服务器端没有对用户提交的数据进行随机值校验，且对http请求包内的refer字段校验不严，导致攻击者可以利用用户的Cookie信息伪造用户请求发送至服务器。

SSRF(服务端请求伪造）是服务器对用户提供的可控URL过于信任，没有对攻击者提供的RUL进行地址限制和足够的检测，导致攻击者可以以此为跳板攻击内网或其他服务器。

XXE漏洞

XXE漏洞就是XML外部实体注入，就是当xml引用外部实体并解析的时候会产生的漏洞，xml解析器去获取其中的外部资源并存储到内部实体中，攻击者可引用外部实体对目标进行文件读取、命令执行、DDOS、内网探测等。

二、防御

1、XSS

修复方式：对字符实体进行转义、使用HTTP Only来禁止JavaScript读取Cookie值、输入时校验、浏览器与Web应用端采用相同的字符编码

a)HttpOnly属性

   为Cookie中的关键值设置httponly属性，众所周知，大部分XSS（跨站脚本攻击）的目的都是通过浏览器的同源策略，来获取用户Cookie，从而冒充用户登陆系统的。

   如果为Cookie中用于用户认证的关键值设置httponly属性，浏览器将会禁止js通过同源策略访问cookie中设有httponly属性的信息，因此以劫持用户认证cookie为目的XSS攻击将会失败。

    但很明显，只为cookie中的值设置Httponly是不够的，因为XSS攻击并不是只能获取用户COOKIE，它还可以窃取用户浏览器信息，模拟用户身份执行操作等等

b) 对输入和URL参数进行过滤(白名单和黑名单

c)对输出进行编码

在输出数据之前对潜在的威胁的字符进行编码、转义是防御XSS攻击十分有效的措施。如果使用好的话，理论上是可以防御住所有的XSS攻击的。对所有要动态输出到页面的内容，通通进行相关的编码和转义。当然转义是按照其输出的上下文环境来决定如何转义的。

1、作为body文本输出，作为html标签的属性输出：

比如： ${username}</span>, <p><c:out value="$ {username}"></c:out>

此时的转义规则如下：

< 转成 <

转成 >

& 转成 &

" 转成 "

’ 转成 &#39

2、javascript事件

除了上面的那些转义之外，还要附加上下面的转义：

\ 转成 \

/ 转成 /

; 转成；(全角;)

3、URL属性

如果

确保：href 和 src 的值必须以 http://开头，白名单方式；不能有10进制和16进制编码字符

2、CSRF

CSRF (Cross—Site Request Forgery)，既跨站点请求伪造，也被叫做 XSRF，和 XSS 一样也是一种比较常见的 web 攻击。

攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你的名义发送邮件，发消息，盗用你的账号，甚至于购买商品，虚拟货币转账。。。

发生条件：

1、登录受信任网站A，并在本地生成Cookie。

2、在不登出A的情况下，访问危险网站B。

CSRF攻击者会过过构造的第三方页面诱导受害者完成加载或者点击，利用受害者的权限，以其身份向合法网站发起恶意请求，通常用户发生状态改变的请求，比如虚拟货币的转账，账号信息修改，恶意发邮件等等，由于具有一定的隐蔽性，所以比较防范。
在这里插入图片描述
通过一个简单例子来演示 CSRF的攻击原理，正常网站A，攻击网站B，用户C，正常网站具有一个虚拟币转账的公功能，转账通过GET请求完成，且网站A不具备 CSRF 防范机制，攻击者利用这个漏洞恶意构造网站B，诱导用户C访问，达到恶意转账目的

cfrs：修复方式：筛选出需要防范CSRF的页面然后嵌入Token、再次输入密码、检验Referer.

Referer头检测法

Referer标识当前请求的来源页面，浏览器访问时除了自动带上Cookie还会自动带上Referer，所以服务端可以检测Referer头是否本网站页面来决定是否响应请求。

Referer是浏览器自动带上的，基于认为浏览器没有相关漏洞的前提下，我们可以认为攻击者是没法伪造Referer头的，也就是检测Referer头的方法是可靠的。

但该方式有时会不受认可，一是因为浏览器是可以设置禁止发送Referer头的，如果使用该方式那么禁止Referer头的浏览将无法正常使用，这可能会降低用户使用体验。二是因为由于移动端的崛起当下流行前后端分离app和web共用一套后端代码，但app是不会自动带Referer头的，如果使用该方式app端不好处理。

token检测法

token就是服务端返回给客户端类似sessionid那样一长串的类值（长是为了防暴力猜解）。csrf依赖于浏览器该问链接时自动对应网站的cookie带上，token不放cookie（一般form表单加个hidden属性的input标签来存放）csrf就没法获取token，这样我们就可以通过检测发送过来的数据包中是否有正确的token值来决定是否响应请求。

在讲清token防御的原理后，我们再来讲token的设计，因为token方式给人的感觉很复杂令人望而生畏。

我们首先明确一个问题，就是能够防止csrf攻击的token，并不需要每次请求都不一样，在用户登录后到退出前的这整个过程中的所有请求token完全可以是一样。因为（在基于没有其他漏洞会泄漏本次会话的token的设想下）黑客是无法获取用户的tokne，所以又何必每个请求都要生成一个新的token呢。（token每次请求都要不一样的想法是受防重放攻击的影响）只考滤防csrf不考滤防重放的情况下，token设计就简单多了。

使用sessionid作为token设计：在csrf中cookie是浏览器自己带上的，本质而言用户的sessionid并未丢失（也就是攻击者并不能知道sessionid是多少），基于此我们完全可以不用另传一个值只需直接将sessionid作为token即可（或者也可以做些运算比如取sessionid的某些值做个md5来做为token，意思都差不多）。判断代码类似 if session[“id”] == $_POST[“token”]

与sessionid同时返回的token设计：在生成sessionid的同时生成一个token（服务端token可以存于session变量中）返回给客户端，客户端保存该token每次请求时都在form表单中提交该值。判断代码类似if session[“token”] == $_POST[“token”]

3、SSRF

叫做服务端请求伪造攻击，有的大型网站在web应用上提供了从其他服务器获取数据的功能。使用户指定的URL web应用获取图片，下载文件，读取文件内容。攻击者利用有缺陷的web应用作为代理攻击远程和内网的服务器（跳板）。

危害：

1、可对内网，服务器所在内网，受控服务器进行端口扫描，获取一些banner

2、对内网web应用进行指纹识别，通过访问默认文件实现。

3、攻击内外网web应用，主要是使用get参数就可以实现分攻击。

4、利用file协议读取本地文件。
　　
　　
在这里插入图片描述
修复方案：

限制协议为HTTP、HTTPS

不用限制302重定向

设置URL白名单或者限制内网IP

4、XXE

XXE：XML External Entity，XXE攻击即外部实体注入攻击。

XXE攻击的原理

XML 中可以通过调⽤实体来请求本地或者远程内容，和远程⽂件保护类似，当服务器解析输入的XML数据时，解析了攻击者伪造的外部实体就尝试了XXE攻击，进而产生敏感文件读取等安全事件的发生。

XXE攻击的危害

读取任意文件、执行系统命令、探测内网端口、攻击内网网站等。

XXE攻击的防护

使用开发语言提供的禁用外部实体的方法、过滤用户提交的XML数据。

三、面试题

CSRF 和 XSS 和 XXE 有什么区别，以及修复方式？
XSS是跨站脚本攻击，用户提交的数据中可以构造代码来执行，从而实现窃取用户信息等攻击。修复方式：对字符实体进行转义、使用HTTP Only来禁止JavaScript读取Cookie值、输入时校验、浏览器与Web应用端采用相同的字符编码。CSRF是跨站请求伪造攻击，是由于没有在关键操作执行时进行是否由用户自愿发起的确认，模仿合法用户对服务器发起请求。修复方式：筛选出需要防范CSRF的页面然后嵌入Token、再次输入密码、检验Referer XXE是XML外部实体注入攻击，XML中可以通过调用实体来请求本地或者远程内容，和远程文件保护类似，会引发相关安全问题，例如敏感文件读取。修复方式：XML解析库在调用时严格禁止对外部实体的解析。

CSRF、SSRF和重放攻击有什么区别？

CSRF是服务器端没有对用户提交的数据进行严格的把控，导致攻击者可以利用用户的Cookie信息伪造用户请求发送至服务器。而SSRF是服务器对用户提供的可控URL地址过于信任，没有经过严格检测，导致攻击者可以以此为跳板攻击内网或其他服务器。

CSRF是跨站请求伪造攻击，由客户端发起 SSRF是服务器端请求伪造，由服务器发起重放攻击是将截获的数据包进行重放，达到身份认证等目的