【常见Web应用安全问题】---1、Cross Site Scripting

　Web应用程序的安全性问题依其存在的形势划分，种类繁多，这里不准备介绍所有的，只介绍常见的一些。

常见Web应用安全问题安全性问题的列表： 　　１、跨站脚本攻击(CSS or XSS, Cross Site Scripting) 　　２、SQL注入攻击(SQL injection) 　　３、远程命令执行(Code execution，个人觉得译成代码执行并不确切) 　　４、目录遍历(Directory traversal) 　　５、文件包含(File inclusion) 　　６、脚本代码暴露(Script source code disclosure) 　　７、Http请求头的额外的回车换行符注入(CRLF injection/HTTP response splitting) 　　８、跨帧脚本攻击(Cross Frame Scripting) 　　９、PHP代码注入(PHP code injection) 　　１０、XPath injection 　　１１、Cookie篡改(Cookie manipulation) 　　１２、URL重定向(URL redirection) 　　１３、Blind SQL/XPath injection for numeric/String inputs 　　１４、Google Hacking

 跨站脚本攻击(CSS or XSS)

　　相信绝大多数人对跨站脚本弱点已经早有耳闻。２００６年全球网络安全弱点Top10排名当中，它荣登榜首！为什么它有如此之大的影响力呢？个人觉得原因有三：

其一、攻击难度小。不管是技术还是实现攻击的成本上都比较容易；

其二、它存在的载体（浏览器）使用极其广泛；

其三、它所依赖的技术被广泛的应用与支持（Javascript,VB Script, HTML,ActiveX, Flash）。

说了这么多，它到底是什么呢？

XSS是一种存在Web应用中，允许黑客以最终用户的身份向Web应用注入恶意脚本，以愚弄其他用户或获取其他用户重要数据和隐私信息为目的的一种攻击形式。

XSS可使用的技术有JavaScript、VBScript、 ActiveX、 或 Flash， 且通常通过页面表单提交注入到web应用中并最终在用户的浏览器客户端执行。例如，一个没有经过安全设计并实现的论坛，当你在跟贴时在正文输入这样的代码：
<script>alert(document.cookie);</script>
当其它用户浏览时便会弹出一个警告框，内容显示的是浏览者当前的cookie串。

试想如果我们注入的不是以上这个简单的测试代码，而是一段经常精心设计的恶意脚本，当用户浏览此帖时，cookie信息就可能成功的被攻击者获取。此时浏览者的帐号就很容易被攻击者掌控了。

说到这，一些初学者可能还不太清楚它的危害到底在哪里，不用着急，我会在后续的文章中详细给大家介绍有关“Web工作原理”内容，到时你就会很清楚的理解这些了。有关ＸＳＳ的攻击实例、手段和方法是多种多样的，你的脚本技能加上你的安全知识决定了你对其理解的深度。

顺便提一句：你可能无法成为XSS安全弱点的攻击专家，但是你可以成为安全检测专家。因为从安全检测角度来说，你无需证明问题的严重性细节，只需要证明此类问题存在就可以了。

简要的解决方案

（等Web工作原理部分讲完再深入）：
　　不管是上述的哪一种技术实现的ＸＳＳ攻击，最终都离不开这三点：

其一是浏览器的解析，其二是脚本语法，其三是脚本需要一定的长度。

对于浏览器的解析是不在话下了，我不能因为这各类型问题的存在就改写浏览器使其不支持脚本解析。

所以，能做就是控制脚本注入的语法要素。比如：javascript离不开：“<”、“>”、“(”、“）”、“;”...等等，所以我们只需要在输入或输出时对其进行字符过滤或转义处理就可以了。一般我们会采用转义的方式来处理，转义字符是会使用到HTML的原始码（Web工作原理中会介绍），因为原始码是可以被浏览器直接识别的，所以使用起来非常方便。

允许可输入的字符串长度限制也可以一定程度上控制脚本注入。比如：页面表单中姓名，我可以只允许你输入５个字符，请问你还有办法进行Javascript的脚本注入吗？显然不行了。

还需要您注意的是：我这里所述的过滤、检测、限制等等策略，一定一定要在Web Server那一端去完成，而不是使用客户端的Javascript或者VBScript...去做简单的检查。因为真正的攻击者不会仅仅依赖于浏览器去做攻击，而更多的往往是借助于第三方工具，根本就可以绕过你精心设计制作的客户端Javascript进行过滤、检测或限制手段的。

本文来自：http://blog.csdn.net/iwebsecurity/article/details/1693877

关于XSS的详细描述见：Cross-Site Scripting(XSS): 跨站脚本攻击介绍