XSS跨站脚本漏洞简介、原理及防护方法

最新推荐文章于 2024-08-16 18:08:04 发布

景天zy

最新推荐文章于 2024-08-16 18:08:04 发布

阅读量7.9k

点赞数

分类专栏：基础漏洞原理文章标签： web安全安全

本文链接：https://blog.csdn.net/m0_54899775/article/details/123648699

版权

本文详细介绍了XSS跨站脚本漏洞，包括其定义、分类（反射型、存储型和DOM型XSS）、攻击原理、利用方式（如cookie盗取）以及防护措施。XSS攻击主要通过注入恶意脚本到网页，影响用户浏览器，可能导致会话劫持、信息泄露等问题。了解其工作机制对于保障Web应用安全至关重要。

摘要由CSDN通过智能技术生成

1.XSS跨站脚本漏洞简介

XSS又叫CSS（cross site script），即跨站脚本攻击，是常见的Web应用程序安全漏洞之一。XSS最大的特点就是能注入恶意的HTML/JavaScript代码到用户浏览的网页上，是因WEB应用程序对用户输入过滤不足而产生的，当用户浏览这些网页时，就会执行其中的恶意代码。由于HTML代码和客户端JavaScript脚本能在受害者主机上的浏览器任意执行，这样等同于完全控制了WEB客户端的逻辑，在这个基础上，黑客可以轻易地发起Cookie窃取，会话劫持，钓鱼欺骗等各种各样的攻击。

攻击流程：

2.XSS漏洞分类

（1）反射型XSS：<非持久化> 攻击者事先制作好攻击链接, 需要欺骗用户自己去点击链接才能触发XSS代码（服务器中没有这样的页面和内容），一般容易出现在搜索页面。
（2）存储型XSS：<持久化> 代码是存储在服务器中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，每当有用户访问该页面的时候都会触发代码执行，这种XSS非常危险，容易造成蠕虫，大量盗窃cookie（虽然还有种DOM型XSS，但是也还是包括在存储型XSS内）。
（3）DOM型XSS：基于文档对象模型Document Objeet Model，DOM)的一种漏洞。DOM是一个与平台、编程语言无关的接口，它允许程序或脚本动态地访问和更新文档内容、结构和样式，处理后的结果能够成为显示页面的一部分。DOM中有很多对象，其中一些是用户可以操纵的，如uRI ，location，refelTer等。客户端的脚本程序可以通过DOM动态地检查和修改页面内容，它不依赖于提交数据到服务器端，而从客户端获得DOM中的数据在本地执行，如果DOM中的数据没有经过严格确认，就会产生DOM XSS漏洞。