OWASP列举的Web应用程序十大安全漏洞 - 跨站脚本 (XSS攻击)

跨站脚本 (XSS攻击)

1、原理

Cross Site Scripting,XSS攻击全称跨站脚本攻击，是为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS

向有XSS漏洞的网站中输入(传入)恶意的HTML代码，当其它用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。如，盗取用户Cookie、破坏页面结构、重定向到其它网站等。

基于存储的XSS攻击，是通过发表带有恶意跨域脚本的帖子/文章，从而把恶意脚本存储在服务器，每个访问该帖子/文章的人就会触发执行。

2、典型案例

案例1：发一篇文章，里面包含了恶意脚本，如下：今天天气不错啊！<script>alert('handsome boy')</script>； 后端没有对文章进行过滤，直接保存文章内容到数据库； 当其他看这篇文章的时候，包含的恶意脚本就会执行。

3、防范方法

1. 替换关健字符或转义特殊字符。替换的内容主要是在用户提交到后台的并且会在其他用户界面显示的数据。
2. 对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。页面上直接输出的所有不确定（用户输入）内容都进行转译。如输出使用<c:out>标签等