对抗蠕虫 —— 如何让按钮不被 JS 自动点击

作者: EtherDream www.cnblogs.com/index-html/p/anti_xss_worm.html

前言

XSS 自动点按钮有什么危害?

在社交网络里,很多操作都是通过点击按钮发起的,例如发表留言。假如留言系统有 XSS,用户中招后除了基本攻击外,还能进行传播 —— XSS 自动填入留言内容,并模拟点击发表按钮,于是就能发布带有恶意代码的留言。好友看了中招后,又传播给他们的好友。。。从而形成蠕虫扩散。

那么有没有一种机制,让「发表留言」必须通过用户的「真实点击」按钮才能完成,而无法通过脚本自动实现?这样就能减缓蠕虫传播速度了。

实现

这个想法听起来好像不可行:如果发表留言需要带上用户行为信息,那么 XSS 完全可以伪造一份行为数据,后端根本无法识别。

除非,用户在点击按钮时会产生一个「特殊数据」,让后端校验它。

但是,XSS 也可以直接调用按钮元素的 click 方法,这样效果和用户点击仍然一样。后端仍无法识别是「脚本点的」还是「用户点的」。

这么看来,我们只能保护好这个「按钮元素」,让它没法被 XSS 访问到。例如,把按钮放到一个 不同源的 iframe 里,这样就和 XSS 所在的环境隔离了!

不过,这样还不够。假如 XSS 破解了这个「特殊数据」的生成规则,那么即可自己伪造一个,然后直接调用 HTTP 接口发表留言。所以,我们得找一个不可伪造的硬标识。

事实上,有个很简单的办法:我们干脆让 HTTP 请求也通过 iframe 发送。这样,后端通过 referer 即可检测请求是否为 iframe 发起的。毕竟,XSS 是无法伪造 referer 的!

演示

Demo: http://www.etherdream.com/FunnyScript/anti-xssworm/

注意:这个案例不是看能不能注入 XSS,而是看能不能通过当前页面的 JS 自动发留言!

另外,通过第三方服务器发表是不算的。这里为简单,省略了登录态;真实场合下,会话 Cookie 是 HttpOnly 的,无法被 JS 获取到,也就无法让第三方服务器代替发表。

细节:

  1. 使用者加载 safebutton.js,引入 SafeButton
  2. 使用者实例化 SafeButton 对象 A,创建出一个不同源的 iframe 作为按钮界面
  3. 用户点击 iframe 按钮后,内部变量 S 置为 true,同时将点击消息告知主页面(postMessage)
  4. 主页面收到消息后,让 A 产生 onclick 事件
  5. 使用者将 HTTP 请求数据,通过 A 的 send 方法扔给 iframe
  6. iframe 校验内部变量 S:若为 true,则将数据通过 AJAX 发送;否则放弃
  7. 服务器校验 referer:若为 iframe 的地址,则继续业务逻辑;否则放弃
  8. iframe 收到 AJAX 返回后,将结果扔给主页面
  9. A 产生 onreceive 事件,其中包含 HTTP 返回结果

其中 No.6 的步骤最为关键。正是这一步,使得未经用户点击,XSS 强制扔给 iframe 的消息变得无效!

缺陷

当然,这个方案阻挡不了点击劫持 —— XSS 可以把 iframe 元素放大至整个页面,并设置全透明。

这样用户只要在页面的任何位置点一下,iframe 的 S 状态就变成 true 了,于是就能绕过 No.6。

结尾

当然,安全防御有胜于无。并且该方案的改造成本也不是很大,后端只是增加一个 referer 判断而已;前端也只需改造个别按钮,例如发帖按钮,像点赞这种按钮就没必要保护了。

觉得本文对你有帮助?请分享给更多人。

原文发布于微信公众号 - 程序员宝库(chengxuyuanbaoku)

原文发表时间:2018-03-03

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏惶心 - 技术博客

WebMaster 123 - 从域名谈起

很久以前(大概今年3月还是去年12月),曾经想过写一套建站教程,奈何要做的事情太多了一直没啥空。最近帮助了某一个群员建好了自己的博客,其中诸多曲折,相信新人肯定...

8917
来自专栏IT派

教你用Python来玩微信跳一跳实现物理外挂

1、下载程序:打开下面的链接,点右侧 clone or download,再点 download zip;

1220
来自专栏ytkah

5步教你设置微信自定义菜单【微信公众平台技巧】

  微信自定义菜单是个不错的东西,点击微信公众账号聊天界面下方的菜单就可以弹出预设好的图文消息或网页,省去了有些公众账号提示的微信关键词自动回复如“回复数字16...

3274
来自专栏狮乐园

30 分钟理解 CORB 是什么

我当前的 chrome 版本是 v68,如果是 v66 或更低版本可能提示的警告信息略有不同。印象中只对 CORS 比较熟悉,CORB 是个什么鬼?好奇心迫使我...

2693
来自专栏小白课代表

Origin Pro 2016 安装教程

1853
来自专栏FreeBuf

制作iOS内核调试线与调试内核

0x00 说明 早期A4处理器的机器是能直接调内核的,而且30pin的数据线并没有对内核信息加密,因此我们能够直接读到内核数据。而现在的新机器一律采用加密过的l...

4147
来自专栏小文博客

WP插件 Antivirus 汉化版 —— 免受后门主题的困扰

AntiVirus,一款扫描当前使用主题可能存在恶意代码的WordPress插件,主要扫描主题模板中存在的不知名代码和加密代码。扫描后将结果给出供管理员手动判断...

1103
来自专栏前端真相

浏览器存储之cookie

2057
来自专栏全栈

前端工程化(一)---工程目录搭建

1203
来自专栏哲学驱动设计

OEA 框架中集成的 RDLC 报表介绍

之前 OEA 一直用着一个 Delphi 开发的报表,所以两年来我一直就想在 OEA 中构建一个纯 .NET 的报表模块,但是一想到要开发复杂的报表引擎和设计器...

2336

扫码关注云+社区

领取腾讯云代金券