web安全之XSS學習筆記

相關連接：http://www.freebuf.com/articles/web/40520.html

預備知識

1. 具有基本JavaScript開發能力
2. 瞭解HTTP,Cookie,Ajax等基本常識

xss攻擊方式

xss攻擊手段：盜用cookie獲取敏感信息；破壞頁面結構，插入惡意內容；利用flash；實現DDoS(分佈式拒絕服務)攻擊效;sever limit dos

反射型

URL中存在xss代碼，有些參數經過search?傳入，服務端解析search時，value部分就是xss代碼

存儲型

掌握xss的防護措施

編碼

過濾

過濾全部與事件相 關的屬性
當style節點含有display:none !important;時，任何包含該樣式的頁面都是空白
script節點引入js文件，iframe節點會引入其餘資源（廣告，植入攻擊頁面，植入具備csrf的引誘頁面）

校訂

經過DOM Parse把字符串或者文本解析成dom對象，使用戶輸入的腳本執行，再進行過濾

DOM Parse的步驟：

1. 反轉義解碼：he.unescape() encode.js庫提供的反轉義的函數。

2. HTMLParse():DOM Parse的結構，在domParse.js中定義

   xss實戰

3. 在服務器端 構造接口，獲取評論，對用戶上傳的評論進行編碼
   
   

4. 瀏覽器端進行DOM Parse解析處理
   
   
   14行，過濾不安全的標籤（有下狀況下須要過濾img標籤）
   
   過濾屬性，直接刪除 15-17行，對屬性的遍歷
   
   不採用傳統的服務器端提供的模板語言，經過DOM Parse把字符串或者文本解析成dom對象，進行dom配對和校驗，使用戶輸入的腳本執行,如圖，把用戶輸入的<button>解析成dom對象，並在頁面中顯示
   
   
   

<img src="null" onerror="alert(2333)" />//自動觸發
<button onclick="alert('攻擊')">攻擊</button>//用戶觸發xss攻擊