浅谈系列之跨站脚本攻击(XSS)

一、XSS简介

XSS,英文全称Cross Site Scripting,翻译过来就是跨站脚本,本应该写作CSS,但是为了和层叠样式表(Cascading Style Sheet)有所区分,所以改写为XSS。

二、XSS攻击基本原理

跨站脚本攻击顾名思义是通过脚本来完成攻击的,也就是通过将恶意的Script代码通过某些方式插入Web网页中,当用户访问这个网页的时候,插入的恶意Script代码就会执行,从而实现攻击的效果。

个人总结XSS攻击四步曲:

1、攻击者在正经url后某个参数中添加恶意代码;

2、通过各种“威逼利诱”引导受害者点击包装好的url;

3、受害者浏览器收到响应后执行解析,其中的恶意代码也会被执行到;

4、在恶意代码中,攻击者可以实现盗取受害者的cookie\token等相关信息,然后冒充受害者进行非法操作;

三、XSS攻击类型

反射型XSS(非持久化)

攻击者引诱受害者访问包含恶意脚本的链接,这类攻击需要受害者主动点击才能触发。此类恶意代码是存在url中的,每次攻击都是一次性的,所以又称为非持久性XSS。

存储型XSS(持久化)

攻击者在web页面中的输入框(如留言板)中输入恶意代码进行提交,此时恶意代码将会上传至服务器中,待后续有访问此页面用户的浏览器就会执行这串恶意代码。此类恶意代码是存储在后端数据库中,所以又称为持久性XSS。

DOM型

我们客户端的js可以对页面dom节点进行动态的操作,比如插入、修改页面的内容。比如说客户端从URL中提取数据并且在本地执行,如果用户在客户端输入的数据包含了恶意的js脚本的话,但是这些脚本又没有做任何过滤处理的话,那么我们的应用程序就有可能受到DOM-based XSS的攻击。

四、如何防范XSS攻击

1、后端对提交的数据进行过滤;

2、使用内容安全性政策(CSP);

3、禁止 JavaScript 读取某些敏感 Cookie

4、对于不受信任的输入,都应该限定一个合理的长度;

5、时刻保持安全意识,在写代码的时候考虑安全风险;

五、写在最后

万事没有绝对,安全也是一样,只有相对安全,没有绝对安全。我们需要时刻保持安全意识,在产品设计之初、在测试阶段、在上线后服务运维阶段等等等等。在业务和安全之间找到平衡的那个点,才能更好的展现安全本身的安全。

下期预告:浅谈系列之跨站请求伪造(CSRF),敬请期待~

 

 

  • 1
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

hobby云说

你的鼓励将是我最大的动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值