Web安全之實(shí)戰(zhàn)：跨站腳本攻擊XSS
Writer：BYSocket（泥沙磚瓦漿木匠）
Reprint it anywhere u want.
文章Points:
1. 認(rèn)識(shí)XSS
2. XSS攻擊
3. XSS防御(重點(diǎn))
一、認(rèn)識(shí)XSS先
先說(shuō)個(gè)故事吧，在上一篇，我還想說(shuō)這個(gè)案例。其實(shí)什么叫攻擊，很簡(jiǎn)單。獲取攻擊者想要的信息，就黑成功了。抓到一個(gè)Tomcat漏洞（這不是我說(shuō)的，一個(gè)認(rèn)識(shí)的人說(shuō)的），上傳一個(gè)JSP，里面模擬HttpClient，下載一個(gè)木馬，運(yùn)行。OK,搞定了。所以，沒(méi)有絕對(duì)的安全。
今天，泥瓦匠帶你們認(rèn)識(shí)下XSS，然后關(guān)于怎么防御的問(wèn)題。至于防御的話，仁者見仁智者見智。爾等啥都不配不上的就綽見，望各位閱讀者相互討論。泥瓦匠目前是搞JAVA的，所以例子上JAVA比較多。
Q: 什么是XSS? 為啥有這個(gè)呢？
A: 全名：Cross Site Script，中文名：跨站腳本攻擊。顧名思義，是指“HTML注入”纂改了網(wǎng)頁(yè)，插入惡意的腳本，從而在用戶用瀏覽網(wǎng)頁(yè)的時(shí)候，控制用戶瀏覽器的一種攻擊。
XSS根據(jù)攻擊的穩(wěn)定性可分為三種：反射型XSS, 存儲(chǔ)型XSS,DOM Based XSS.
二、XSS攻擊
再來(lái)了解下XSS，是如何攻擊？泥瓦匠這時(shí)候想到一句話：知己知彼，百戰(zhàn)百勝吧。這攻擊我們不會(huì)很詳細(xì)解釋，畢竟想說(shuō)的是XSS防御嘛。首先，泥瓦匠要介紹下的是：
XSS Playload,所謂用以完成各種具體的功能的惡意腳本。這時(shí)候我想到了黑客精神中的小插曲，現(xiàn)在所謂的“黑客”不是真正的黑客，而是稱為腳本小子（Script Kid）。常見的一個(gè)XSS Playload，就是通過(guò)讀取瀏覽器的Cookie對(duì)象，從而發(fā)起了‘Cookie劫持’攻擊。這個(gè)泥瓦匠會(huì)教你們?nèi)シ烙?，其中Cookie的‘HttpOnly’標(biāo)識(shí)可以防止哦。
強(qiáng)大的XSS Playload可以做以下的事情哈：1、構(gòu)造 GET 與 POST 請(qǐng)求 2、各種釣魚 3、識(shí)別用戶瀏覽器 等等
Q&A
Q：什么叫做釣魚呢？
A：顧名思義，愿者上鉤，這里做貶義用法。比如，人家用一個(gè)假的彈出框，或者假的頁(yè)面讓你輸入QQ信息，或者啥賬號(hào)信息。其實(shí)你一輸入人家服務(wù)器獲取到你的賬戶密碼了。這就是魚兒上鉤了。 如圖比喻：
三、XSS防御(重點(diǎn))
兵來(lái)將擋，水來(lái)土掩。泥瓦匠在Web安全上，想提醒大家的是：“再高的樹，猴子也能爬上去。”因此，我們考慮的地方有些默認(rèn)都給你做好了，有些需要我們自己去關(guān)心，去設(shè)置。
其實(shí)在看不到的地方很多已經(jīng)對(duì)抗XSS做了些措施。比如各種瀏覽器等。
一、按著上面的思路，泥瓦匠先聊下Cookie，一個(gè)Cookie，我們是這樣使用的：
1、瀏覽器下服務(wù)器發(fā)送請(qǐng)求，準(zhǔn)備獲取Cookie
2、服務(wù)器返回發(fā)送Cookie頭，向客戶端瀏覽器寫入Cookie。（注意哦，這里是瀏覽器，不要當(dāng)成什么瀏覽器內(nèi)核）
3、在Cookie到期前，瀏覽器所有頁(yè)面，都會(huì)發(fā)送Cookie。
這就意味著，我們Cookie不能亂用。就像Session一樣，所以在使用的時(shí)候，要注意下。有時(shí)候Cooike在用于記住密碼的時(shí)候，千萬(wàn)要注意要將Cookie設(shè)置HttpOnly屬性為Ture。這里我以SpringMVC為例子。如果用到Cookie的時(shí)候，應(yīng)該這樣：
|
1
2
3
4
5
6
7
|
// create cookie and set it in response
Cookie cookie1 = new Cookie("cookie1", "cookieValueHttpOnly");
Cookie cookie2 = new Cookie("cookie2", "cookieValue");
cookie1.setHttpOnly(true);
response.addCookie(cookie1);
response.addCookie(cookie2);
|
截個(gè)Controller整個(gè)代碼看看：
我們打開瀏覽器可以看到下面這種結(jié)果，訪問(wèn)URL這個(gè)Controller層，打開Firebug查看：
二、輸入校驗(yàn)
輸入校驗(yàn)的邏輯必須放在服務(wù)端中實(shí)現(xiàn)。如果用JS進(jìn)行的話，容易被攻擊者繞過(guò)去。所以普遍的做法是，類似很多代碼一樣進(jìn)行Double Check:”客戶端JS校驗(yàn)和服務(wù)端校驗(yàn)一起，這樣客戶端JS校驗(yàn)會(huì)阻擋大部分甚至說(shuō)99%的用戶的誤操作。”
在XSS防御上，我們需要對(duì)用戶輸入的一些特殊字符校驗(yàn)，過(guò)濾或者是編碼。這種輸入校驗(yàn)的方式成為“XSS Filter”。首先我們?cè)谂渲梦募校?/span>
其中的路徑配置當(dāng)然，在你需要的地方配置下咯。然后泥瓦匠在這里寫了個(gè)，Http請(qǐng)求裝飾類，用來(lái)對(duì)這些參數(shù)的過(guò)濾。說(shuō)干就干唄~實(shí)戰(zhàn)出經(jīng)驗(yàn)。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
|
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper
{
public XssHttpServletRequestWrapper(HttpServletRequest request)
{
super(request);
}
public String[] getParameterValues(String parameter)
{
String[] values = super.getParameterValues(parameter);
if (values==null)
{
return null;
}
int count = values.length;
String[] encodedValues = new String[count];
for (int i = 0; i < count; i++)
{
encodedValues[i] = cleanXSS(values[i]);
}
return encodedValues;
}
public String getParameter(String parameter)
{
String value= super.getParameter(parameter);
if (value == null)
{
return null;
}
return cleanXSS(value);
}
public String getHeader(String name)
{
String value= super.getHeader(name);
if (value == null)
return null;
return cleanXSS(value);
}
/**
* @Title: cleanXSS
* @Description: You'll need to remove the spaces from the html entities below
* @param @return
* @return String
*/
private String cleanXSS(String value)
{
value= value.replaceAll("<", "& lt;").replaceAll(">", "& gt;");
value = value.replaceAll("\\(", "& #40;").replaceAll("\\)", "& #41;");
value = value.replaceAll("'", "& #39;");
value = value.replaceAll("eval\\((.*)\\)", "");
value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");
value = value.replaceAll("script", "");
return value;
}
}
|
三、輸出校驗(yàn)
一般來(lái)說(shuō)，除了富文本之外，在變量輸出到HTML頁(yè)面，可以使用編碼或者轉(zhuǎn)義的方式來(lái)防御XSS攻擊。這是一種各家委婉的方式吧。
四、總結(jié)
用兵之道在于，如何正確的使用，才能以少勝多。Web安全這場(chǎng)戰(zhàn)爭(zhēng)也一樣，所以要如何正確的使用XSS防御。
Writer：BYSocket（泥沙磚瓦漿木匠）
Reprint it anywhere u want.
