最近工作要求解决下web的项目的漏洞问题，扫描漏洞是用的AppScan工具，其中有很多是关于跨站点脚本编制问题的。下面就把这块东西分享出来。

原创文章，转载请注明

-----------------------------------------正题-------------------------

测试类型：
应用程序级别测试

威胁分类：
跨站点脚本编制

原因：
未对用户输入正确执行危险字符清理

安全性风险：
可能会窃取或操纵客户会话和cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务

受影响产品：
该问题可能会影响各种类型的产品。

引用：
CERT Advisory CA-2000-02
Microsoft How To: Prevent Cross-Site Scripting Security Issues (Q252985)
Microsoft How To: Prevent Cross-Site Scripting in ASP.NET
Microsoft How To: Protect From Injection Attacks in ASP.NET
Microsoft How To: Use Regular Expressions to Constrain Input in ASP.NET
Microsoft .NET Anti-Cross Site Scripting Library
跨站点脚本编制培训模块

技术描述：

AppScan 检测到应用程序未对用户可控制的输入正确进行无害化处理，就将其放置到充当Web 页面的输出中。这可被跨站点脚本编制攻击利用。
在以下情况下会发生跨站点脚本编制(XSS) 脆弱性：
[1] 不可信数据进入Web 应用程序，通常来自Web 请求。
[2] Web 应用程序动态生成了包含此不可信数据的Web 页面。
[3] 页面生成期间，应用程序不会禁止数据包含可由Web 浏览器执行的内容，例如JavaScript、HTML 标记、HTML 属性、鼠标事件、Flash 和
ActiveX。
[4] 受害者通过Web 浏览器访问生成的Web 页面，该页面包含已使用不可信数据注入的恶意脚本。
[5] 由于脚本来自Web 服务器发送的Web 页面，因此受害者的Web 浏览器在Web 服务器的域的上下文中执行恶意脚本。
[6] 这实际违反了Web 浏览器的同源策略的意图，该策略声明一个域中的脚本不应该能够访问其他域中的资源或运行其他域中的代码。
一旦注入恶意脚本后，攻击者就能够执行各种恶意活动。攻击者可能将私有信息（例如可能包含会话信息的cookie）从受害者的机器传输给攻击者。攻
击者可能以受害者的身份将恶意请求发送到Web 站点，如果受害者具有管理该站点的管理员特权，这可能对站点尤其危险。
网络钓鱼攻击可用于模仿可信站点，并诱导受害者输入密码，从而使攻击者能够危及受害者在该Web 站点上的帐户。最后，脚本可利用Web 浏览器本
身中的脆弱性，可能是接管受害者的机器（有时称为“路过式入侵”）。
主要有三种类型的XSS：
类型1：反射的XSS（也称为“非持久性”）
服务器直接从HTTP 请求中读取数据，并将其反射回HTTP 响应。在发生反射的XSS 利用情况时，攻击者会导致受害者向易受攻击的Web 应用程序提
供危险内容，然后该内容会反射回受害者并由Web 浏览器执行。传递恶意内容的最常用机制是将其作为参数包含在公共发布或通过电子邮件直接发送给
受害者的URL 中。以此方式构造的URL 构成了许多网络钓鱼方案的核心，攻击者借此骗取受害者的信任，使其访问指向易受攻击的站点的URL。在站
点将攻击者的内容反射回受害者之后，受害者的浏览器将执行该内容。
类型2：存储的XSS（也称为“持久性”）
应用程序在数据库、消息论坛、访问者日志或其他可信数据存储器中存储危险数据。在以后某个时间，危险数据会读回到应用程序并包含在动态内容
中。从攻击者的角度来看，注入恶意内容的最佳位置是向许多用户或特别感兴趣的用户显示的区域。感兴趣的用户通常在应用程序中具有较高的特权，
或者他们会与对攻击者有价值的敏感数据进行交互。如果其中某个用户执行恶意内容，那么攻击者就有可能能够以该用户的身份执行特权操作，或者获
取对属于该用户的敏感数据的访问权。例如，攻击者可能在日志消息中注入XSS，而管理员查看日志时可能不会正确处理该消息。
类型0：基于DOM 的XSS
在基于DOM 的XSS 中，客户机执行将XSS 注入页面的操作；在其他类型中，注入操作由服务器执行。基于DOM 的XSS 中通常涉及发送到客户机的
由服务器控制的可信脚本，例如，在用户提交表单之前对表单执行健全性检查的Javascript。如果服务器提供的脚本处理用户提供的数据，然后将数据
注入回Web 页面（例如通过动态HTML），那么基于DOM 的XSS 就有可能发生。以下示例显示了在响应中返回参数值的脚本。
参数值通过使用GET 请求发送到脚本，然后在HTML 中嵌入的响应中返回。

[REQUEST]

GET /index.aspx?name=JSmith HTTP/1.1
[RESPONSE]

HTTP/1.1 200 OK

Server: SomeServer

Date: Sun, 01 Jan 2002 00:31:19 GMT

Content-Type: text/html

Accept-Ranges: bytes

Content-Length: 27

<HTML>

Hello JSmith

</HTML>

攻击者可能会利用类似以下情况的攻击：

[ATTACK REQUEST]

GET /index.aspx?name=>"'><script>alert('PWND')</script> HTTP/1.1
[ATTACK RESPONSE]

HTTP/1.1 200 OK

Server: SomeServer

Date: Sun, 01 Jan 2002 00:31:19 GMT

Content-Type: text/html

Accept-Ranges: bytes

Content-Length: 83

<HTML>

Hello >"'><script>alert('PWND')</script>

</HTML>

在这种情况下，JavaScript 代码将由浏览器执行（>"'> 部分在此处并不相关）。

跨站点脚本编制实例（AppScan扫描结果）的更多相关文章

  1. 使用过滤器解决SQL注入和跨站点脚本编制

    1 SQL注入.盲注 1.1 SQL注入.盲注概述 Web 应用程序通常在后端使用数据库,以与企业数据仓库交互.查询数据库事实上的标准语言是 SQL(各大数据库供应商都有自己的不同版本).Web 应用 ...

  2. 跨站点脚本编制-XSS 描述及解决方法

    跨站点脚本编制可能是一个危险的安全性问题,在设计安全的基于 Web 的应用程序时应该考虑这一点.本文中,描述了这种问题的本质.它是如何起作用的,并概述了一些推荐的修正策略. 当今的大多数网站都对 We ...

  3. 跨站点脚本编制 - SpringBoot配置XSS过滤器（基于mica-xss）

    1. 简介   XSS,即跨站脚本编制,英文为Cross Site Scripting.为了和CSS区分,命名为XSS.   XSS是最普遍的Web应用安全漏洞.这类漏洞能够使得攻击者嵌入恶意脚本代码 ...

  4. 跨站点脚本编制 - SpringBoot配置XSS过滤器（基于Jsoup）

    1. 跨站点脚本编制   风险:可能会窃取或操纵客户会话和 cookie,它们可能用于模仿合法用户,从而使黑客能够以该用户身份查看或变更用户记录以及执行事务.   原因:未对用户输入正确执行危险字符清 ...

  5. js解决跨站点脚本编制问题

    1.前台处理(容易绕过): <script type="text/javascript"> $(document).ready(function(){ var url= ...

  6. IBM Rational AppScan：跨站点脚本攻击深入解析

    IBM Rational AppScan:跨站点脚本攻击深入解析    了解黑客如何启动跨站点脚本攻击(cross-site scripting,XSS),该攻击危害(及不危害)什么,如何检测它们,以 ...

  7. 网站跨站点脚本，Sql注入等攻击的处理

    从360安全论坛里找到的一段代码,经过整理封装,直接在站点Global.asax文件或写一个HttpModule来拦截恶意请求即可: http://bbs.webscan.360.cn/forum.p ...

  8. [原]网站跨站点脚本，Sql注入等攻击的处理

    从360安全论坛里找到的一段代码,经过整理封装,直接在站点Global.asax文件或写一个HttpModule来拦截恶意请求即可: http://bbs.webscan.360.cn/forum.p ...

  9. ASP.NET Core中的OWASP Top 10 十大风险-跨站点脚本攻击 (XSS)

    不定时更新翻译系列,此系列更新毫无时间规律,文笔菜翻译菜求各位看官老爷们轻喷,如觉得我翻译有问题请挪步原博客地址 本博文翻译自: https://dotnetcoretutorials.com/201 ...

随机推荐

  1. PostgreSQL Replication之第十二章 与Postgres-XC一起工作（1）

    在本章中,我们希望将我们的注意力集中在写可扩展,多主,同步,对称和PostgreSQL的称为Postgres-XC(PostgreSQL eXtensible Cluster)的透明复制方案.该项目的 ...

  2. UVa10023手动开大数平方算法

    题目链接:UVa 10023 import java.math.BigInteger; import java.util.Scanner; public class Main { public sta ...

  3. 【Origin】答友朋关切书

    发烧感冒脑袋疼, 剃了短毛不威风: 莫再问我有何事, 躺下一觉到天明. --作于二零一五年七月二十七日

  4. android studio不能创建android项目，或者不能识别android项目的解决方法

    1.先点击file->close project回到android studio 欢迎界面,然后按如下图步骤添加相关的plugin就行了,然后重启. 2.如图 3. 4.

  5. <c:if>标签的使用

    <c:if>标签用来在页面中实现条件化的判断功能.它的主要目的就是替换Java脚本中的if语句,来实现页面内容的条件化输出功能.这个标签所进行的判读主要是依据表达式来进行的,如果该表达式的 ...

  6. css3文字与字体

    ---恢复内容开始--- 1.text-overflow(用来设置是否使用省略标记)必须和white-space:nowrap 同时使用white-space:nowrap(强制文本在一行显示) wo ...

  7. Java Switch（String）

    package shb.java.test; /** * switch支持字符串 * @Package:shb.java.test * @Description: * @author shaobn * ...

  8. paper 50 ：人脸识别简史与近期进展

    自动人脸识别的经典流程分为三个步骤:人脸检测.面部特征点定位(又称Face Alignment人脸对齐).特征提取与分类器设计.一般而言,狭义的人脸识别指的是"特征提取+分类器"两 ...

  9. 夺命雷公狗ThinkPHP项目之----企业网站23之网站前台二级分类的跳转（URL跳转到列表页或产品页）

    我们现在开始做实现我们的二级菜单如何跳转到指定的列表页或者产品也呢?? 我们分享下数据库情况: 我们的数据库里提前给我们预留了一个cate_type的字段,那么我们可以让这个字段进行判断,从而遍历出指 ...

  10. bootstrap, boosting, bagging 几种方法的联系

    http://blog.csdn.net/jlei_apple/article/details/8168856 这两天在看关于boosting算法时,看到一篇不错的文章讲bootstrap, jack ...