不可忽视的前端安全问题——XSS攻击

XSS攻击是前端技术者最关心的安全漏洞,在OWASP最新公布的2017 常见安全漏洞TOP 10中,XSS又被列入其中。

本文首发于知乎,各位可以通过点击文章下方的阅读原来来访问知乎原文地址

XSS是什么

XSS是跨站脚本攻击(Cross-Site Scripting)的简称。

XSS是一种注入脚本式攻击,攻击者利用如提交表单、发布评论等方式将事先准备好的恶意脚本注入到那些良性可信的网站中,当其他用户进入该网站后,脚本就在用户不知情的情况下偷偷地执行了,这样的脚本可能会窃取用户的信息、修改页面内容、或者伪造用户执行其他操作等等,后果不可估量。

XSS攻击通常会发生在以下情况下:

  • 向一个web app中输入含有一些不良代码的内容,通常是一段含有http请求的代码
  • 这些内容包含在发给其他用户的动态内容之中,而且这些内容还没有经过校验

发送到Web浏览器的恶意内容通常采用JavaScript代码片段的形式,但也可能包括HTML,Flash或浏览器可能执行的任何其他类型的代码。 基于XSS的攻击方式几乎是无限的。但是它们通常的方式是:

  • 向攻击者发送包括诸如cookie或其他会话信息的私有数据
  • 攻击者篡改页面的内容
  • 在用户的机器上,以含有漏洞的网站为幌子,执行其他恶意操作

在OWASP(Open Web Application Security Project)最新公布的2017 10项最严重的 Web 应用程序安全风险中,XSS榜上有名。

而事实上,XSS在每次的TOP10评比中都会出现……

XSS实例

想知道XSS是如何造成攻击的?可以看这个下面的文章,它介绍了一个XSS漏洞, 案例中攻击者利用XSS可以获取用户的隐私信息。

案例链接:http://blog.csdn.net/smstong/article/details/43561607

XSS攻击的分类

一般会把XSS分为两类——存储型XSS(Stored XSS)和反射型XSS(Reflected XSS)

不过还有一种不为人知的类型——DOM-based XSS

存储型XSS是指那些将恶意脚本永久的保存在目标服务器上的攻击方式,如存储在数据库、消息论坛、访问日志、评论内容扥等。

反射型XSS是当用户点击一个恶意链接,或者提交一个表单,或者进入一个恶意网站时,注入脚本进入被攻击者的网站。Web服务器将注入脚本,比如一个错误信息,搜索结果等 返回到用户的浏览器上。浏览器会执行这段脚本,因为,它认为这个响应来自可信任的服务器。这个例子中,如果有人诱导你点击了上面文章中写到的链接,那么你在站酷网站中的隐私信息就发送到了其他服务器中了。

例子链接:http://blog.csdn.net/binyao02123202/article/details/9041113

DOM-Based型XSS是指攻击者利用原生JavaScript代码篡改客户端的DOM结构,导致用户操作执行了“意外”的动作。

关于DOM-Based型XSS可以看下面的例子

下面是一段网站的代码,它提供一个下拉框让你来选择语言,而且还根据你URL上的default参数来进行默认语言的推荐。

通常情况下,这个页面的地址会是下面的样子:

而DOM-Based型XSS会利用这个页面DOM结构的漏洞,向受害者发送下面的链接

http://www.some.site/page.html?default=<script>alert(document.cookie)</script>

当受害者点开这个链接时,就会将用户的cookie全部alert出来了。

XSS的防范原则

关于XSS攻击的防范,我在OWASP上给出防范方法进行了精简,如果你有兴趣的话,可以去看详细内容。

原则0——永远不要把不受信任的数据插入到原本允许JavaScript可以放置的地方

就像下面的代码中所示的那样:

原则1——在向元素中插入不受信任的HTML代码之前一定要进行转义

就像下面的代码中所示的那样:

原则2——在向元素的属性插入不受信任的HTML代码之前一定要进行转义

看下面的代码:

原则3——在用不受信任的数据向JavaScript代码赋值前,一定要进行转义

看下面的代码:

需要注意的是,有一些JavaScript函数永远无法安全的使用不受信任的数据作为输入,比如下面的代码:

原则3.1——在HTML的上下文中对JSON值进行转义,并用JSON.parse()方法来读取值

一定要确保http response中的头部信息的content-type为application/json,而不是text/html,因为那样的话,很可能会被人利用进行XSS攻击。

一个坏的案例:

一个好的案例:

原则4——在将不受信任的数据作为CSS属性插入到文档之前一定要进行转义

看下面的代码

需要注意的是,还是有一些CSS属性值对于“不受信任的”数据是无法确保万无一失的——即使做了转义,如下面的两个CSS属性:

你应该确保所有CSS属性值引入的外部链接是由“http”开头的,而不是“javascript”开头的。

原则5——在向HTML的URL参数插入将不受信任的数据前,一定要将进行转义

看下面的代码

<a href="http://www.somesite.com?test=...将不受信任的数据转义后再放在这...">link</a >

加分原则1——对于cookie使用httpOnly标识

使用httpOnly标识后的cookie JavaScript是无法获取的,又由于cookie是基于同源原则,所以一定程度上会防范那些利用客户cookie的XSS攻击。

加分原则2——在http header中使用Content Security Policy

利用http header中的属性值Content-Security-Policy来防范XSS。HTTP 响应头 Content-Security-Policy 允许站点管理者在指定的页面控制用户代理的资源。除了少数例外,这条政策将极大地指定服务源 以及脚本端点。

加分原则3——使用自动转义模板系统

许多Web应用程序框架提供了自动的上下文转义功能,如AngularJS严格的上下文转义和Go模板。 尽可能使用这些技术。

加分原则4——在http header中使用X-XXS-Protection

HTTP X-XSS-Protection 响应头是Internet Explorer,Chrome和Safari的一个功能,当检测到跨站脚本攻击 (XSS)时,浏览器将停止加载页面。虽然这些保护在现代浏览器中基本上是不必要的,当网站实施一个强大的Content-Security-Policy来禁用内联的JavaScript ('unsafe-inline')时, 他们仍然可以为尚不支持 CSP 的旧版浏览器的用户提供保护。

总结

XSS攻击的后果是不可估量的,而往往他又是容易被人忽视的。结合上面提到的几点,检查一下自己的Web App是否有上面的漏洞。

原文发布于微信公众号 - 较真的前端(gh_7af41a2be77e)

原文发表时间:2017-12-25

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏流柯技术学院

Win Server 2003 10条小技巧

微软推出Windows Server 2003已经有一段时间了,但是,由于它是一个面向企业用户的服务器操作系统,所以,没有引起更多个人用户的注意。实际上,简单地...

2232
来自专栏前端开发

jsonp介绍与jsonp封装

6765
来自专栏大数据人工智能

小白请点进来!零基础搭建Hadoop大数据处理环境

由于hadoop需要运行在Linux环境中,而且是分布式的,因此个人学习只能装虚拟机,本文都以VMware Workstation为准,安装CentOS7,具体...

51710
来自专栏区块链

不可忽视的前端安全问题——XSS攻击

XSS攻击是前端技术者最关心的安全漏洞,在OWASP最新公布的2017 常见安全漏洞TOP 10中,XSS又被列入其中。 ? XSS是什么 XSS是跨站脚本攻击...

1916
来自专栏知晓程序

开发 | 网络接口全攻略!这些技巧,让你的小程序永不「失联」

微信为小程序提供了 4 个接口,供小程序访问网络。如果你刚开始接触小程序开发,也许会对小程序网络访问产生不少的疑问。

1284
来自专栏子勰随笔

iMac(OS X)不可或缺的套件管理器 —— Homebrew

1755
来自专栏从零开始学自动化测试

Appium+python自动化15-Mac上环境搭建

前言 mac上搭建appium+python的环境还是有点复杂的,需要准备的软件 1.nodejs 2.npm 3.cnpm 4.appium 5.pip 6....

3118
来自专栏Laoqi's Linux运维专列

SubversionEdge部署研发团队文档管理

1374
来自专栏FreeBuf

对一款不到2KB大小的JavaScript后门的深入分析

在一台被入侵的服务器上,我们发现了一个攻击者遗留下来的脚本。该脚本是由JavaScript编写的,主要功能是作为Windows后门及C&C后端使用。在这里我首先...

3504
来自专栏Flutter入门到实战

开发工具总结(3)之Git及GitHub快速入门图文全面详解

版权声明:本文为博主原创文章,未经博主允许不得转载。https://www.jianshu.com/p/3f12bd3ccf2a

1183

扫码关注云+社区

领取腾讯云代金券