Web应用安全防护-XXS

一、什么是XSS?

        XSS:  Cross Site Script ，跨站脚本攻击。恶意攻击者在页面中注入恶意Script代码，在用户浏览时，恶意代码会被执行，从而达到攻击的目的。

        恶意者通常会通过Web应用提交的内容提交Script代码，导致浏览器将用户输入的内容当成了代码执行。

二、XSS 攻击类型

1）持久性XSS

        将恶意代码保存在数据库中，谁加载到该数据谁则被攻击，常见博客、论坛中。而且是长期的威胁。

1）网站留言板功能，有浏览内容、联系方式等输入框

2）我们期望用户在输入框中输入正常数据，恶意攻击者输入script代码，在动态网站渲染数据时，将代码渲染出执行

3）窃取cookie

黑客--插入js脚本--> 服务器实例化到数据库《--管理员查看信息，执行恶意代码

思考： 如果将恶意脚本放入到服务器中。

（1）通过ajax 

（2）img加载外部数据源，但是数据源的地址是向黑客的地址发送相关的信息，如向黑客的地址发送cookie的信息

2）反射性XSS

         非持久性XSS，恶意代码没有保存到目标网站，而是通过印个引诱用户点击一个恶意链接

           参数--》Controller --> 回显

2）DOM性XSS

        不存储，不交互 

三、植入js代码攻击及危害分析

外在表现：

1.直接注入JaveScript代码

2.引用外部js文件

基本实现原理：

1.通过img标签的src发送数据

2.构造表单诱导用户输入账号密码

3.流量劫持，恶意跳转

四、预防策略

1、输入环节

限制输入框的长度、限制特殊字符限制，后端代码限制输入长度、处理特殊字符。Filter过滤器统一处理（自定义处理规则、使用Apache commom text、owasp AntiSamy）

流量网关（进行安全校验）--》业务网关，把校验放在流量网关进行校验

2.Cookie防护

cookie设置httponly，一般servlet容器默认httpOnlytrue

3、X-Frame-Options 响应头

4、输出环节

显示时对字符进行转义处理，OWASP ESAPI Java 显示时对字符转义处理，各种模板都有相关语法，通常情况下前段框架或者模板引擎都有转义的功能，默认开启

5、DOM型XSS

避免innerHTML、outerHtml、document.write()

6、富文本处理

禁止危险标签，如<iframe><form><script>

7、内容安全策略（CSP）

CSP之指定有效域

分类：

（1）Content-Security-Policy: 配置好后，不符合CSP的外部资源会被阻止加载

（2）Content-Security-Policy-Report-Only:表示不执行限制选项，知识记录违反记录的行为。配合report-uri使用

如何使用？

（1）在HTTP Header 上使用，在网关的filter中配置或者nginx中配置

（2）在HTML上使用

使用案例：

1）限制所有的外部资源，只能从当前域名加载，不包含子域名:

Content-security-Policy: defuault-src 'self'

2） 限制所有的外部资源，只能从当前域名及其子域名加载

Content-security-Policy:default-src *.xxxx.com  使用*通配符                     

3）   仅允许从指定域名加载

Content-security-Pilicy:default-src 'self';img-src *;media-src xxx.com yyy.com;script-src script.xxx.com                              

4) 仅允许通过HTTPS的方式从指定域名访问文档

Context-security-Policy:default-src https:xxxx.com

5) 发送违例报告

Content-Security-Policy:default-src 'self';report-uri http:xxxx.com/api

发送的json字符串如下：

{

        ”csp-report”: {

                "document-uri": ''

                "referece": ''

                "blocked-uri":'',

                "violated-directive": "style-src cdn,example.com",

                "original-policy":""

}

}