XSS的中文名称叫跨站脚本，是WEB漏洞中比较常见的一种，特点就是可以将恶意HTML/JavaScript代码注入到受害用户浏览的网页上，从而达到劫持用户会话的目的。XSS根据恶意脚本的传递方式可以分为3种，分别为反射型、存储型、DOM型，前面两种恶意脚本都会经过服务器端然后返回给客户端，相对DOM型来说比较好检测与防御，而DOM型不用将恶意脚本传输到服务器在返回客户端，这就是DOM型和反射、存储型的区别，所以我这里就单独的谈一下DOM型XSS。

DOM文档

为了更好的理解DOM型XSS，先了解一下DOM，毕竟DOM型XSS就是基于DOM文档对象模型的。对于浏览器来说，DOM文档就是一份XML文档，当有了这个标准的技术之后，通过JavaScript就可以轻松的访问它们了。

下面举例一个DOM将HTML代码转化成树状结构：

<html>

    <head>

        <meta charset="gbk" />

        <title> TEST </title>

    </head>

    <body>

        <p>The is p.<p>

        <h1>Product:</h1>

        <ul>

            <li>Apple</li>

            <li>Pear</li>

            <li>Corn</li>

        </ul>

    </body>

</html>

转化成模型如下图：

这样做的好处就是，通过这种简单的树状结构，就能把元素之间的关系简单明晰的表示出来，方便客户端的JavaScript脚本通过DOM动态的检查和修改页面内容，不依赖服务端的数据。

利用原理

客户端JavaScript可以访问浏览器的DOM文本对象模型是利用的前提，当确认客户端代码中有DOM型XSS漏洞时，并且能诱使(钓鱼)一名用户访问自己构造的URL，就说明可以在受害者的客户端注入恶意脚本。利用步骤和反射型很类似，但是唯一的区别就是，构造的URL参数不用发送到服务器端，可以达到绕过WAF、躲避服务端的检测效果。

为了更方便大家的理解，下面我举几个场景给大家理解。

场景一：innerHTML

<html>

    <head>

        <title> DOM-XSS TEST </title>

        <style>

            #box{width:250px;height:200px;border:1px solid #e5e5e5;background:#f1f1f1;}

        </style>

    </head>

    <body>

        <script>

            window.onload= function(){

                var oBox=document.getElementById("box");

                var oSpan=document.getElementById("span1");

                var oText=document.getElementById("text1");

                var oBtn=document.getElementById("Btn");

                oBtn.onclick = function(){

                    oBox.innerHTML = oBox.innerHTML + oSpan.innerHTML + oText.value + "<br/>";

                    // oBox.innerHTML += oSpan.innerHTML + oText.value +  "<br/>";//这是简便的写法，在js中 a=a+b ,那么也等同于 a+=b

                    oText.value=""

                };

            }

        </script>

        <div id="box"></div>

        <span id="span1">小明：</span>

        <input type="text" id="text1"/>

        <input id="Btn" type="button" value="发送消息" name=""/>

    </body>

</html>

第一次是正常访问：

hellow

第二次是将JavaScript代码作为参数写入值中：

<svg/onload=alert(1)>

这里我只在火狐浏览器利用成功，在chrome利用失败，我猜可能chrome对安全防护做得比较好，这里不继续各个浏览器版本问题。

使用innerHTML、outerHTML 时要注意，标签需不进行编码处理，可能会导致XSS。防护方法就是替换成innerText，它自动将HTML标签解析为普通文本，所以HTML标签不会被执行，避免XSS攻击。

oBox.innerText = oBox.innerHTML + oSpan.innerHTML + oText.value + "<br/>";

场景二：跳转

<html>

    <head>

        <title> DOM-XSS TEST </title>

    </head>

    <body>

        <script>

            var hash = location.hash;

            if(hash){

                var url = hash.substring(1);

                location.href = url;

            }

        </script>

    </body>

</html>

正常访问是用#去实现页面跳转，但是因为跳转部分参数可控，可能导致Dom xss。

通过 location.hash 的方式，将参数写在 # 号后，既能让JS读取到该参数，又不让该参数传入到服务器，从而避免了WAF的检测。

变量hash作为可控部分，并带入url中，变量hash控制的是#之后的部分，可以使用伪协议#javascript:alert(1)。常见的几种伪协议有javascript:、vbscript:、data:等。而现在的移动端（android和ios），都可以自定义这种协议从浏览器打开本地app，具体可以看看https://www.cnblogs.com/WuXiaolong/p/8735226.html

#javascript:alert(1)

场景三：eval

#';alert(1);//

直接将用户输入数据拼接到代码里。

eval("var x = '" + location.hash + "'");

场景四：cookie、referrer

从localStorage、SessionStorage、Cookies储存源中取数据，这些值往往会被开发者忽略，认为这些值都是在浏览器获取的，是安全的，就未进行处理。

var cookies = document.cookie;

document.write(cookies);

场景五：document.write 、document.URL.indexOf("id=")

var ids = document.URL;

document.writeln(ids.substring(ids.indexOf("id=")+3,ids.length));

indexOf获取url里面的参数，然后通过writeln( )或者write( )输出到HTML，造成xss，不过我现在（2020.3）在chrome和firefox浏览器测试，write()函数很难利用，除非结合一些特殊场景。

防护策略

还有一些正则匹配缺陷、业务逻辑型缺陷、配合移动端跳转等、使用第三方前端框架（比如多媒体编辑框）等场景没有一一进行说明（精力实在有限了...），后期有空可能会继续补全这些场景。

检测的流程就是通过查看代码是否有document.write、eval、window之类能造成危害的地方，然后通过回溯变量和函数的调用过程，查看用户是否能控制输入。如果能控制输入，就看看是否能复习，能复习就说明存在DOM XSS，需要对输入的数据进行编码。

代码审计时审计的特征点（包括但不限于）：

            var elements = location.hash;

            elements.indexOf

            var oBtn=document.getElementById("Btn");

            oBtn.innerHTML

            oBtn.outerHTML

            document.createElement

            oBtn.setAttribute

            oBtn.appendChild

            document.write

            document.writeln

            eval("var x = '" + location.hash + "'");

            setTimeout("alert('xss')", 1000)

            window.setTimeout

            document.setTimeout

            window.setInterval

            document.execCommand('ForeColor',false,'#BBDDCC');

            document.createElement

            document.createElementNS

            document.createEvent

            document.createXxx

js语法很灵活、库函数也很多，这里没法完全列举全，我觉得需要对js语法体系有一定了解，才可能更多的找全这些特征。

当业务需要必须得将用户输入的数据放入html，那就要尽量使用安全的方法，比如innerText(),testContent()等。在使用框架时尽量使用框架自带的安全函数。

参考文档

《XSS跨站脚本-攻击剖析与防御》

《Web漏洞防护》

https://xz.aliyun.com/t/5181

https://domgo.at/cxss/example

https://www.secpulse.com/archives/92286.html

DOM-XSS攻击原理与防御的更多相关文章

XSS攻击原理及防御措施
概述 XSS攻击是Web攻击中最常见的攻击方法之一,它是通过对网页注入可执行代码且成功地被浏览器执行,达到攻击的目的,形成了一次有效XSS攻击,一旦攻击成功,它可以获取用户的联系人列表,然后向联系 ...
PHP 安全三板斧：过滤、验证和转义之转义篇 & Blade模板引擎避免XSS攻击原理探究
PHP 转义实现把输出渲染成网页或API响应时,一定要转义输出,这也是一种防护措施,能避免渲染恶意代码,造成XSS攻击,还能防止应用的用户无意中执行恶意代码. 我们可以使用前面提到的 htmlen ...
web安全之XSS攻击原理及防范
阅读目录一:什么是XSS攻击? 二:反射型XSS 三:存储型XSS 四:DOM-based型XSS 五:SQL注入六:XSS如何防范? 1. cookie安全策略 2. X-XSS-Protect ...
CSRF攻击原理以及防御方法（写的很好）
转载地址:http://www.phpddt.com/reprint/csrf.html CSRF概念:CSRF跨站点请求伪造(Cross—Site Request Forgery),跟 ...
CSRF 攻击原理和防御方法
1. CSRF攻击原理 CSRF(Cross site request forgery),即跨站请求伪造.我们知道XSS是跨站脚本攻击,就是在用户的浏览器中执行攻击者的脚本,来获得其cookie等信息 ...
CSRF攻击原理及防御
一.CSRF攻击原理 CSRF是什么呢?CSRF全名是Cross-site request forgery,是一种对网站的恶意利用,CSRF比XSS更具危险性.想要深入理解CSRF的攻击特性我们有必要 ...
浅谈JavaScript DDOS 攻击原理与防御
前言 DDoS(又名"分布式拒绝服务")攻击历史由来已久,但却被黑客广泛应用.我们可以这样定义典型的DDoS攻击:攻击者指使大量主机向服务器发送数据,直到超出处理能力进而无暇处理正 ...
XSS攻击-原理学习
本文优先发布于简书https://www.jianshu.com/p/04e0f8971890 1.百度百科XSS,跨站脚本攻击(Cross Site Scripting)缩写为CSS,但这会与层叠样 ...
155.XSS攻击原理
XSS攻击: XSS(Cross Site Script)攻击叫做跨站脚本攻击,他的原理是用户使用具有XSS漏洞的网站的时候,向这个网站提交一些恶意代码,当用户在访问这个网站的某个页面的时候,这个恶意 ...

随机推荐

（警告）不要轻易删除libc.so.6，以及误删恢复
网上有很多帖子介绍升级libc.so.6库的帖子,这里存在巨大的坑: 如: Linux/CentOS 升级C基本运行库CLIBC的注意事项(当想解决GLIBC_2.x找不到的编译问题) 里边都会有这样 ...
HttpClient-get请求/Post请求/Post-Json/Header
1.Pom文件添加httpClient 依赖 <dependency> <groupId>org.apache.httpcomponents</groupId> & ...
win7/win8下vmware/VirtualBox虚拟网卡显示未识别网络的解决
http://blog.csdn.net/zengxianying/article/details/44017227
bind(this)作用
.bind()创建了一个函数,当这个函数在被调用的时候,它的 this 关键词会被设置成被传入的值(这里指调用bind()时传入的参数
Python的Flask框架开发RESTful API
web框架选择 Django,流行但是笨重,还麻烦,人生苦短,肯定不选 web.py,轻量,但据说作者仙逝无人维护,好吧,先pass tornado,据说倡导自己造轮子,虽然是facebook开源的吧 ...
OpenGL Panorama Player
JMGL_PANO star_war_eve source 1 star_war_eve source 2 1. 介绍 JMGL_PANO 是Justin开源的一个全景视频播放器(Github).基于 ...
linux sort排序命令的高级用法
在linux中,使用sort按行进行排序是很简单的.不过有时,生活总是爱抛给你一个一个的问题.如果使用sort按多个列值排列,同时使用tab作为分隔符,而且对于某些列需要进行逆序排列,这样sort命令 ...
OpenCV3入门（十一）图像直方图
1.直方图的概念灰度直方图是灰度级的函数,描述的是图像中具有该灰度级的像元的个数.确定图像像素的灰度值范围,以适当的灰度间隔为单位将其划分为若干等级,以横轴表示灰度级,以纵轴表示每一灰度级具有的像素 ...
python通用读取vcf文件的类（可以直接复制粘贴使用）
前言处理vcf文件的时候,需要多种切割,正则匹配,如果要自己写其实会比较麻烦,并且每次还得根据vcf文件格式或者需要读取的值不同要修改相应的代码.因此很多人会选择一些python的vcf的库,但 ...
HTML标签学习总结（2）
点我:HTLM标签学习总结(1) 11. 在网页制作过程过中,可以把一些独立的逻辑部分划分出来,放在一个<div>标签中,这个<div>标签的作用就相当于一个容器. 语法: & ...

DOM-XSS攻击原理与防御