目录
XSS漏洞概述
XSS漏洞定义
XSS(Cross-Site Scripting)漏洞,即跨站脚本攻击,是一种常见的网络安全漏洞。攻击者通过在网页注入恶意脚本代码,使得其他用户访问该页面时执行这些恶意代码,以此盗取用户敏感信息,如cookie、session等。
XSS攻击手段和目的
XSS攻击的手段多样,包括但不限于盗用cookie获取敏感信息、利用植入的Flash获取更高权限、利用iframe等执行管理动作、利用受信任域的特点进行不当操作等。
XSS漏洞分类
XSS漏洞可分为三大类:反射型XSS、存储型XSS和DOM型XSS。反射型XSS通常通过URL传递参数触达,存储型XSS则是将恶意代码存储在服务器端,而DOM型XSS则是通过改变页面的DOM结构来实现的。
XSS漏洞的危害
XSS漏洞可能导致一系列严重后果,如窃取用户信息、劫持用户会话、执行任意操作、刷流量、传播蠕虫病毒等。
如何防止XSS漏洞
输入验证和过滤
对用户输入的内容进行严格的验证和过滤,采用白名单验证、黑名单验证、HTML实体编码等方式。
输出编码
对输出到页面的内容进行编码,防止浏览器将其解析为脚本。可以使用合适的输出编码方式,如HTML实体编码、CSP(内容安全策略)等。
HttpOnly标记
对于cookie中的敏感信息,使用HttpOnly标记,防止通过JavaScript访问cookie中的内容。
验证码和输入长度控制
使用验证码防止脚本冒充用户提交危险操作,并对不受信任的输入限定合理的长度,增加XSS攻击的难度。
定期安全审计和漏洞扫描
定期对网站进行安全审计和漏洞扫描,及时发现和修复潜在的XSS漏洞。
使用安全框架和库
使用如Django、Express.js、Angular、ASP.NET MVC等现代安全框架和库,它们提供了自动化的输入验证和过滤功能,可以有效地防止XSS攻击。
内容安全策略(CSP)
通过设置正确的HTTP头部,如Content-Security-Policy,可以有效防止XSS攻击
1、反射型XSS(get)
先插入一个script代码试试
<script>alert("caker")</script>
发现搜索框有长度限制,一般长度限制都是通过前端html代码校验,所以这里我们有两种方法
1、网址框输入
输入的Payload会在网址框显示,而网址框是没有长度限制的,所以可以之间在网址框插入Payload
<script>alert("caker")<%2fscript>
%2f为URL编码中的 /
注:使用之前需要查看浏览器是否自动转换URL编码,若无法自动转换则需要手动输入转换。
2、直接修改html代码
鼠标右键–检查,弹出开发者工具(或F12)
将限制长度的变量maxlength增加,比如修改为100。
修改过后重新在输入框中输入我们的Payload
<script>alert("caker")</script>
payload也可以是
<script>alert(/caker/)</script>
<script>alert(`caker`)</script>
<script>alert('caker')</script>
2、反射型XSS(post)
发现是一个登陆页面
查看右上角的提示,使用它给的账号密码登录
登录成功后,得到一个提交页面,感觉和上一关差不多,而且这关的输入框还没有长度限制
输入payload
<script>alert(document.cookie)</script>
成果获得了cookie
3、存储型XSS
是一个留言板界面
在留言板中输入Payload
<script>alert(document.cookie)</script>
发现显示这样的弹窗,点了确定之后又变成了这样,留言内容显示不出来,但是对比开始页面可以发现多了个“删除”,说明确实多了一条留言
右键–查看网页源代码 的话,可以看到payload在html代码中是原封不动的
在另外一个浏览器中访问本关页面,也出现了同样的弹框。说明存储型XSS能危害所有访问受影响页面的用户
4、DOM型XSS
进入关卡发现只有一个输入框
输入这串代码,发现只有一个超链接 what do you see?
<script>alert(1)</script>
鼠标右击——检查——搜索这串英文(CTRL + F)
找到了一段js代码,寻找DOM型XSS的本质是做js的阅读理解题
分析代码
利用了DOM将字符串进行拼接并把值给a标签的href,然后输出一个what do you see?
所以我们可以利用已知条件构建payload效果为弹窗,弹窗内容为123456
<a href='#' οnclick="alert(123456)">'>what do you see?</a>
payload:
#' onclick="alert(123456)">
也可以通过右键-检查-使用ctrl+shift+c来查看输入后的语句,可以通过这个方法测试如何闭合标签和引号