快捷導(dǎo)航

web網(wǎng)絡(luò)安全之跨站腳本攻擊(XSS)詳解

更新時(shí)間：2025年03月04日 09:07:23 作者：愛編程的小莊

這篇文章主要介紹了web網(wǎng)絡(luò)安全之跨站腳本攻擊(XSS)的相關(guān)資料,跨站腳本攻擊XSS是一種常見的Web安全漏洞,攻擊者通過注入惡意腳本誘使用戶執(zhí)行,可能導(dǎo)致竊取敏感信息或執(zhí)行惡意操作,需要的朋友可以參考下

前言

跨站腳本攻擊（XSS，Cross-Site Scripting） 是一種常見的 Web 安全漏洞，攻擊者通過向受信任的網(wǎng)站注入惡意腳本（通常是 JavaScript），誘使其他用戶在瀏覽時(shí)執(zhí)行這些惡意代碼。XSS 攻擊可能導(dǎo)致竊取用戶的敏感信息、冒充用戶行為、篡改網(wǎng)頁內(nèi)容，甚至執(zhí)行惡意操作如傳播惡意軟件。

XSS 的類型

XSS 攻擊通常可以分為以下幾種類型：

1. 存儲(chǔ)型 XSS（Stored XSS）

存儲(chǔ)型 XSS 是最危險(xiǎn)的一種類型，攻擊者將惡意腳本存儲(chǔ)在服務(wù)器端，其他用戶訪問該頁面時(shí)，惡意腳本會(huì)在他們的瀏覽器中執(zhí)行。

示例：

攻擊者在留言板或評(píng)論區(qū)插入惡意腳本：
```
<script>alert('Your account is hacked!');</script>
```
攻擊者提交的惡意腳本被服務(wù)器存儲(chǔ)在數(shù)據(jù)庫中。
當(dāng)其他用戶查看該留言時(shí)，惡意腳本從數(shù)據(jù)庫中讀取并執(zhí)行，可能導(dǎo)致用戶彈出警告框，或進(jìn)行其他操作。

危害：

惡意腳本長(zhǎng)期存儲(chǔ)在服務(wù)器中，可能影響大量用戶，給網(wǎng)站帶來嚴(yán)重的安全隱患。
攻擊者可以在用戶不知情的情況下竊取其身份信息或執(zhí)行敏感操作。

2. 反射型 XSS（Reflected XSS）

反射型 XSS 攻擊通過 URL 參數(shù)將惡意腳本發(fā)送到服務(wù)器，服務(wù)器返回并在頁面中直接反射該腳本，最終在用戶瀏覽器中執(zhí)行。

示例：

攻擊者構(gòu)造惡意鏈接，包含一個(gè)惡意腳本：
```
https://example.com/search?q=<script>alert('XSS!');</script>
```
用戶點(diǎn)擊鏈接后，服務(wù)器將 q 參數(shù)的值直接嵌入頁面響應(yīng)中：
```
<h1>Search Results for: <script>alert('XSS!');</script></h1>
```
用戶瀏覽器執(zhí)行該腳本，觸發(fā)彈窗。

危害：

該攻擊通常在特定情況下（如用戶點(diǎn)擊惡意鏈接時(shí)）觸發(fā)，攻擊者可以通過郵件、社交網(wǎng)絡(luò)等渠道誘使用戶點(diǎn)擊。
惡意腳本執(zhí)行的后果通常為竊取用戶信息或惡意重定向。

3. DOM 型 XSS（DOM-based XSS）

DOM 型 XSS 攻擊不依賴于服務(wù)器返回的數(shù)據(jù)，而是直接通過客戶端的 JavaScript 操作頁面的 DOM（文檔對(duì)象模型）。攻擊者利用前端 JavaScript 代碼中未充分處理用戶輸入的部分來注入惡意腳本。

示例：

攻擊者構(gòu)造一個(gè)惡意鏈接，包含惡意腳本：
```
https://example.com/page#<script>alert('XSS!');</script>
```
頁面中的 JavaScript 代碼直接從 URL 哈希部分讀取內(nèi)容，并將其插入到 DOM 中：
```
javascript


復(fù)制編輯
document.body.innerHTML = location.hash.substring(1);
```
惡意腳本被注入頁面并執(zhí)行。

危害：

DOM 型 XSS 攻擊依賴客戶端 JavaScript 邏輯，如果前端沒有對(duì) URL 參數(shù)進(jìn)行適當(dāng)清理，攻擊者可以利用這一點(diǎn)進(jìn)行攻擊。
該攻擊不依賴服務(wù)器，因此有時(shí)比反射型 XSS 更難檢測(cè)和防范。

XSS 的危害

XSS 攻擊可能造成以下幾方面的危害：

竊取用戶敏感信息：
- 惡意腳本可以竊取用戶的 Cookie、會(huì)話令牌、輸入的數(shù)據(jù)等敏感信息。
- 通過執(zhí)行腳本，攻擊者可以獲取到用戶的身份認(rèn)證信息，進(jìn)行賬戶劫持。
冒充用戶行為：
- 攻擊者可以利用 XSS 執(zhí)行用戶操作，偽造用戶行為。例如，發(fā)送消息、轉(zhuǎn)賬、修改賬戶信息等，造成經(jīng)濟(jì)損失。
偽造頁面內(nèi)容：
- 攻擊者可以修改頁面的內(nèi)容，顯示虛假的信息，例如篡改銀行賬戶余額、偽造訂單詳情等，欺騙用戶進(jìn)行進(jìn)一步的操作。
傳播惡意軟件：
- 惡意腳本可以強(qiáng)制用戶下載惡意軟件，或?qū)⒂脩糁囟ㄏ虻结烎~網(wǎng)站，進(jìn)一步感染用戶設(shè)備或竊取個(gè)人信息。

防御 XSS 攻擊的方法

1. 輸入驗(yàn)證和清理

對(duì)用戶輸入的數(shù)據(jù)進(jìn)行嚴(yán)格的驗(yàn)證和清理，防止惡意代碼的注入。拒絕包含 HTML 元素、JavaScript 代碼或特殊字符的非法輸入。

示例：

使用專門的庫進(jìn)行數(shù)據(jù)轉(zhuǎn)義（如 DOMPurify、html.escape）。
對(duì)用戶輸入的字符如 <, >, &, ", ' 等進(jìn)行轉(zhuǎn)義。

let safeInput = DOMPurify.sanitize(userInput);

2. 輸出轉(zhuǎn)義

在將用戶輸入的內(nèi)容輸出到頁面時(shí)，進(jìn)行適當(dāng)?shù)霓D(zhuǎn)義處理，防止用戶輸入的代碼被執(zhí)行。確保對(duì) HTML、JavaScript、CSS 和 URL 等輸出進(jìn)行轉(zhuǎn)義。

示例：

對(duì) HTML 輸出進(jìn)行轉(zhuǎn)義：

<h1>Search Results for: {{ user_input | escape }}</h1>

使用模板引擎時(shí)，使用自動(dòng)轉(zhuǎn)義功能，避免直接插入用戶輸入的內(nèi)容。

3. 使用內(nèi)容安全策略（CSP）

內(nèi)容安全策略（CSP）是一種通過 HTTP 頭部限制網(wǎng)頁加載資源（如 JavaScript）的機(jī)制。通過配置 CSP，可以防止惡意腳本的加載，減少 XSS 攻擊的風(fēng)險(xiǎn)。

示例：

設(shè)置 CSP 頭部，限制腳本來源：

Content-Security-Policy: script-src 'self' https://trusted-scripts.example.com;

限制不受信任的腳本執(zhí)行，從而避免執(zhí)行外部的惡意腳本。

4. 避免直接使用用戶輸入

盡量避免將用戶輸入直接插入到 HTML、JavaScript、CSS 等代碼中。尤其是動(dòng)態(tài)構(gòu)建頁面時(shí)，應(yīng)該使用 DOM 操作來生成內(nèi)容，而不是直接使用 innerHTML。

示例：

使用 textContent 或 setAttribute() 來插入內(nèi)容，而不是 innerHTML：

let elem = document.createElement("div");
elem.textContent = userInput;
document.body.appendChild(elem);

5. 禁用危險(xiǎn)的 HTML 功能

前端代碼中避免使用危險(xiǎn)的 DOM 操作方式，如 innerHTML、document.write() 等，這些方法允許注入 HTML 或 JavaScript，容易導(dǎo)致 XSS 攻擊。

6. Cookie 的安全設(shè)置

通過配置 Cookie 的安全屬性，防止惡意腳本竊取 Cookie 數(shù)據(jù)。

設(shè)置 HttpOnly 屬性，防止 JavaScript 訪問 Cookie：
```
Set-Cookie: sessionid=abc123; HttpOnly;
```
設(shè)置 SameSite 屬性，防止跨站請(qǐng)求攜帶 Cookie：
```
Set-Cookie: sessionid=abc123; SameSite=Strict;
```

7. 使用 HTTP Only 和 Secure 屬性

通過設(shè)置 Cookie 的 HttpOnly 和 Secure 屬性，確保 Cookie 只能通過服務(wù)器訪問，防止惡意 JavaScript 獲取敏感 Cookie。

Set-Cookie: sessionid=abc123; HttpOnly; Secure;

其他防護(hù)建議

定期審計(jì)和滲透測(cè)試：進(jìn)行定期的安全審計(jì)和滲透測(cè)試，發(fā)現(xiàn)并修復(fù) XSS 漏洞。可以使用自動(dòng)化工具如 OWASP ZAP 來進(jìn)行安全掃描。
教育開發(fā)人員和用戶：定期培訓(xùn)開發(fā)人員，增強(qiáng)其對(duì) XSS 攻擊的防范意識(shí)。用戶也應(yīng)了解不要隨意點(diǎn)擊可疑鏈接，避免遭遇社交工程攻擊。
使用現(xiàn)代框架和庫：許多現(xiàn)代框架（如 React、Angular、Vue 等）默認(rèn)實(shí)現(xiàn)了 XSS 防護(hù)機(jī)制，開發(fā)時(shí)應(yīng)優(yōu)先選擇這些框架，以減少 XSS 攻擊的風(fēng)險(xiǎn)。