xss攻击技术原理

一.xss攻击技术原理

1.跨站脚本攻击(CrossSiteScript,XSS),是最常见的Web应用程序安全漏洞之一,也是OWASP2017Top10之一,近年来大量知名网站,包括Facebook、Twitter、百度、搜狐等都曾发现多个XSS安全漏洞,研究数据表明近68%的网站受到XSS攻击威胁,这些都表明XSS攻击已经成为目前Web应用程序最为严重和普遍的安全问题。为了不和层叠样式表(CascadingStyleSheets,CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的。
2.XSS通常来说就是在网页中嵌入恶意代码,当用户访问网页的时候,恶意脚本在浏览器上执行。Script脚本在各
种浏览器版本中广泛使用,目前绝大多数网站都使用JavaScript用来进行计算、管理Cookie等工作,这些脚本运行在客户端上,而不是服务器上。
 

二.xss攻击类型

1.与代码注入类似,XSS攻击的根源同样是Web应用程序对用户输入内容的安全检验与过滤不够完善,在许多流行的Web论坛、博客、留言本及其他允许用户交互的Web应用程序中,用户提交内容中可以包含HTML、JavaScript及其他脚本代码,而一旦Web应用程序没有对这些输入的合法性进行检查与过滤,就很有可能让这些恶意代码逻辑包含在服务器动态产生或更新
的网页中。
2.与代码注入不同的是,XSS攻击的最终攻击目标并非Web服务器,Web服务器上的应用程序在XSS攻击中充当的角色是“帮凶”,而非“受害者”,而真正的“受害者”则是访问这些Web服务器上的其他用户。
3.攻击目的包括绕过客户端安全策略访问敏感信息,窃取或修改会话Cookie、进行客户端渗透攻击获取访问权限等。 
4.非持久型XSS漏洞(也被称为反射XSS漏洞)是最为普遍的类型,当Web浏览器在HTTP请求参数或HTML提交表单中提供的数据,被立即由服务器端脚本使用,产生一个提供给该用户的结果页面,而缺乏恰当的请求数据安全验证和过滤,那么就很可能存在着非持久型XSS漏
洞。该漏洞的一个典型例子是站点搜索引擎功能,如果用户搜索特定的一个查询字符串,这个查询字符串通常会在查询结果页面中进行重新显示,如果查询结果页面没有对输入查询字符串进行恰当的转义和过滤处理,以消除HTML控制字符那么就可能导致被XSS包含跨脚本攻击。
5.这类漏洞表面看起来并不是什么严重的问题,因为黑客向存在漏洞的网站提交恶意输入,只能攻击黑客自己的安全上下文环境,如黑客自己的浏览器会话Cookie、缓存对象等。但我们需要认识到,攻击者可以非常简单地在一些不相关的网站上嵌入隐藏页面或欺骗性链接,从而
使得受害者浏览器能自动地在后台浏览指向有漏洞网站页面的URL,在这种场景下,攻击者就可以侵入到大量受害者的安全上下文环境中,窃取受害者的敏感信息。

三.xxs攻击类型-反射行


1.一个典型的非持久型XSS过程:假设

图片[1]-xss攻击技术原理-可能资源网

test.com网站的Web应用程序登录处理页面存在XSS漏洞,将用户名
作为URL的参数进行传递如

图片[2]-xss攻击技术原理-可能资源网

http://www.test.com/login.php?sessionid=12345&username=xxx,当用户正常登录时,欢迎页面中显示“欢迎,xxx”,而当攻击者在用户名参数中包含恶意脚本,就会在欢迎页面中包含并执行。

四.xxs攻击类型-存储型

1.持久型XSS漏洞是危害最为严重的XSS漏洞,它通常出现于一些可以将用户输入持久性地保存在Web服务器端,并在一些“正常”页面中持续性地显示,从而能够影响所有访问这些页面的其他用户,因此该类XSS漏洞也被称作存储性XSS漏洞。这种漏洞通常出现在留言本、BBS和博客等Web应用程序中,攻击者通过留言、帖子、评论等方式注入包含恶意脚本的内容之后,这些恶意脚本将永久性的包含在网站页面中,从而危害其它阅读留言本、BBS和博客的用户。特别是在一些社会网络型网站中,针对该类漏洞的客户端执行代码可以被设计成具备跨用户进行自我传播的能力,从而成为XSS蠕虫。

THE END
抢沙发

请登录后发表评论

    暂无评论内容

相关推荐

装睡让他滑进我的身体

装睡让他滑进我的身体-可能资源网
当我轻轻钻进床里,小妮子依然在假装熟睡中。然而她的身体却开始微微颤抖,似乎有些不安。我不禁好奇地靠近她,发现她在睡梦中紧紧搂住了我的一只手臂不放。我心中一动,知道这是她对我的信任和...
可能的头像-可能资源网可能9个月前
012

随时随地都能c的学校游戏

随时随地都能c的学校游戏-可能资源网
随着科技的不断发展,我们的生活变得越来越便利。现在,随时随地都能进行的学校游戏成为了学生们最喜欢的娱乐方式之一。 这款学校游戏是一款基于手机应用的虚拟游戏,可以在任何时间、任何地点...
可能的头像-可能资源网可能9个月前
046

小熊录屏解锁会员教程

小熊录屏解锁会员教程-可能资源网
【资源名称】:小熊录屏【资源版本】:2.4.6.8【资源大小】:70.1【测试机型】:一加8t【练手软件下载地址】:https://wwuj.lanzoul.com/iVxjD159tccj 下面开始教程:首先打开Mt管理器,点击左上...
可能的头像-可能资源网可能10个月前
041

《哆啦A梦》剧场版44部合集1980-2023 4K高码率原盘修复 国粤日台四音轨 收藏级别高端资源 1.6T【终极典藏版】

《哆啦A梦》剧场版44部合集1980-2023 4K高码率原盘修复 国粤日台四音轨 收藏级别高端资源 1.6T【终极典藏版】-可能资源网《哆啦A梦》剧场版44部合集1980-2023 4K高码率原盘修复 国粤日台四音轨 收藏级别高端资源 1.6T【终极典藏版】-可能资源网《哆啦A梦》剧场版44部合集1980-2023 4K高码率原盘修复 国粤日台四音轨 收藏级别高端资源 1.6T【终极典藏版】-可能资源网
+5
《哆啦A梦》剧场版44部合集1980-2023 4K高码率原盘修复 国粤日台四音轨 收藏级别高端资源 1.6T【终极典藏版】-可能资源网
可能的头像-可能资源网可能26天前
010

嗯~啊~哦~别~别停~啊老师

嗯~啊~哦~别~别停~啊老师-可能资源网
在这篇作文中,我将描述一个学生和老师之间的互动。请注意,我会尽量避免出现任何可能在中国被视为敏感的内容。 在一个安静的课堂里,学生小明专注地听着老师的讲解。老师用着温和的声音,向学...
可能的头像-可能资源网可能9个月前
061

错一题就往阴里放一支笔

错一题就往阴里放一支笔-可能资源网
'错一题就往阴里放一支笔' 这句话在中国并没有特殊的含义,它是一种幽默的说法,意思是当我们在做题时答案错误了,就会感到沮丧,有时候甚至会用力地把笔放在桌子上以示不满。然而,这只是一种...
可能的头像-可能资源网可能9个月前
022