XSS攻擊原理

反射型

發(fā)出請(qǐng)求時(shí)，xss代碼出現(xiàn)在URL中，作為輸入提交到服務(wù)器端，服務(wù)器端解析后響應(yīng)，xss代碼隨響應(yīng)內(nèi)容一起傳回瀏覽器，最后瀏覽器解析執(zhí)行xss代碼。這個(gè)過(guò)程像一次反射，故叫反射型xss。

存儲(chǔ)型

存儲(chǔ)型xss和反射型xss的差別僅在于，提交的代碼會(huì)存儲(chǔ)在服務(wù)器端（數(shù)據(jù)庫(kù)，內(nèi)存，文件系統(tǒng)等），下次請(qǐng)求目標(biāo)頁(yè)面時(shí)不用再提交xss代碼。

XSS攻擊手段

反射型

反射xss存儲(chǔ)在URL中。

測(cè)試語(yǔ)句：

id=<img src="null" οnerrοr="alert(1)"/> 　　主動(dòng)觸發(fā)

id=<p οnclick="alert('點(diǎn)我')">點(diǎn)我</p> 　　 被動(dòng)觸發(fā)

id=<iframe src="//jd.com"></iframe> 　　　 插入廣告

<script>alert(1)</script>

<p>skii<img src="null" alt="" οnerrοr="alert(1)"></p>

<p>skii<img src="null" οnerrοr="alert(1)"></p><button οnclick=“alert("攻擊我")”>攻擊我</button>

javascript:alert('XSS')"

Unicode下：alert `A `

u0061u006cu0065u0072u0074 `A `

x5h'><script>alert(1)</script>rm

<script>alert(document.cookie)</script>

"/><script>alert(document.cookie)</script>

存儲(chǔ)型

存儲(chǔ)xss存儲(chǔ)在數(shù)據(jù)庫(kù)中。

XSS防范措施

編碼

對(duì)用戶(hù)輸入的數(shù)據(jù)進(jìn)行HTML Entity編碼

過(guò)濾

移除用戶(hù)上傳的DOM屬性，如onerror等

移除用戶(hù)上傳的Style節(jié)點(diǎn)、Script節(jié)點(diǎn)、iframe或frame節(jié)點(diǎn)等，不區(qū)分大小寫(xiě)

對(duì)上傳的數(shù)據(jù)進(jìn)行客戶(hù)端及后臺(tái)程序的校驗(yàn)

校正

避免直接對(duì)HTML Entity解碼

使用DOM Parse轉(zhuǎn)換，校正不配對(duì)的DOM標(biāo)簽

CSRF攻擊原理

CSRF是指請(qǐng)求迫使某個(gè)已登錄的瀏覽器（用戶(hù)）向攻擊者的Web應(yīng)用發(fā)送一個(gè)請(qǐng)求（包含token信息cookie信息等），然后攻擊者以受害者的名義進(jìn)行操作

CSRF攻擊手段

1、同個(gè)瀏覽器打開(kāi)兩個(gè)頁(yè)面：一個(gè)頁(yè)面權(quán)限失效后，另一個(gè)頁(yè)面是否可操作成功

2、使用工具發(fā)送請(qǐng)求，在http請(qǐng)求頭中不加入referer字段，檢驗(yàn)返回消息，是否重新定位到錯(cuò)誤界面或者登陸界面。

如果還可以返回正常的信息就有可能存在CSRF問(wèn)題。

CSRF防范措施

1、用戶(hù)技巧

用戶(hù)退出

多個(gè)瀏覽器進(jìn)行訪問(wèn)避免共享進(jìn)程導(dǎo)致session共享

2、添加一些確認(rèn)的操作

頁(yè)面上確認(rèn)操作

雙因子/多因子認(rèn)證

3、重新認(rèn)證，要求用戶(hù)重新輸入密碼

4、session時(shí)效時(shí)間（比如設(shè)置為1小時(shí)）

5、使用token

服務(wù)器端session中增加token值

請(qǐng)求頭中增加token值

進(jìn)行請(qǐng)求時(shí)對(duì)比

用戶(hù)退出或session失效token移除并銷(xiāo)毀

二、如何寫(xiě)xss腳本

在被測(cè)網(wǎng)頁(yè)輸入html語(yǔ)句，觀察操作結(jié)果是否存在安全隱患。

三、獲取用戶(hù)cookie

1、獲取cookie

2、傳輸用戶(hù)cookie到本地

或者用其他方法獲得用戶(hù)cookie：

總結(jié)

以上是生活随笔為你收集整理的存储型xss_web安全测试--XSS(跨站脚本)与CSRF的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。