XSS漏洞介绍

跨站脚本(Cross Site Scripting, 简称为XSS或跨站脚本或跨站脚本攻击)是一种针对网站应用程序的安全漏洞攻击技术，是代码注入的一种。它允许恶意用户将代码注入网页，其他用户在浏览网页时就会受到影响。恶意用户利用XSS代码攻击成功后，可能层到很高的权限(如执行些操作) 、私密网页内容、会话和cookie等各种内容。

XSS攻击可以分为 3 种：反射型、存储型和DOM型。

XSS漏洞原理

反射型XSS

反射型XSS又称非持久型XSS,这种攻击方式往往具有一次性。

攻击方式：攻击者通过电子邮件等方式将包含XSS代码的恶意链接发送给目标用户。当目标用户访问该链接时，服务器接收该目标用户的请求并进行处理，然后服务器把带有XSS代码的数据发送给目标用户的浏览器，浏览器解析这段带有XSS代码的恶意脚本后，就会触发XSS漏洞。

存储型XSS

存储型XSS又称持久型XSS,攻击脚本将被永久地存放在目标服务器的数据库或文件中，具有很高的隐蔽性。

攻击方式：这种攻击多见于论坛、博客和留言板，攻击者在发帖的过程中，将恶意脚本连同正常信息一起注入帖子的内容中。随着帖子被服务器存储下来，恶意脚本也永久地被存放在服务器的后端存储器中。当其他用户浏览这个被注入了恶意脚本的帖子时，恶意脚本会在他们的浏览器中得到执行。

例如，恶意攻击者在留言板中加入以下代码。

<script> alert (/hacker by hacker/) </script>

当其他用户访问留言板时，就会看到一个弹窗。可以看到，存储型XSS的攻击方式能够将恶意代码永久地嵌入一个页面中，所有访问这个页面的用户都将成为受害者。如果我们能够谨慎对待不明链接，那么反射型XSS攻击将没有多大作为，而存储型XSS则不同，由于它注入在一些我们信任的页面，因此无论我们多么小心，都难免会受到攻击。

DOM型XSS

DOM全称Document Object Model,使用DOM可以使程序和脚本能够动态访问和更新文档的内容、结构及样式。DOM型XSS其实是一种特殊类型的反射型XSS，它是基于DOM文档对象模型的一种漏洞。

HTML的标签都是节点，而这些节点组成了DOM的整体结构一节点树。通过HTML DOM,树中的所有节点均可通过JavaScript进行访问。所有HTML元素(节点)均可被修改，也可以创建或删除节点。HTML DOM树结构如图所示。

在网站页面中有许多元素，当页面到达浏览器时，浏览器会为页面创建一个顶级的Document object文档对象，接着生成各个子文档对象，每个页面元素对应一个文档对象，每个文档对象包含属性、方法和事件。可以通过JS脚本对文档对象进行编辑，从而修改页面的元素。也就是说，客户端的脚本程序可以通过DOM动态修改页面内容，从客户端获取DOM中的数据并在本地执行。由于DOM是在客户端修改节点的，所以基于DOM型的XSS漏洞不需要与服务器端交互，它只发生在客户端处理数据的阶段。

攻击方式：用户请求一个经过专门设计的URL，它由攻击者提交，而且其中包含XSS代码。服务器的响应不会以任何形式包含攻击者的脚本。当用户的浏览器处理这个响应时，DOM对象就会处理XSS代码，导致存在XSS漏洞。

反射型XSS攻击

在反射型XSS PHP代码中，通过GET获取参数xss_input_value的值，然后通过echo输出一个input标签，并将xss_input_value的值放入input标签的value中。当访问 xss_input_value="> <img src=1 onerror=alert(/xss/) />时，输出到页面的HTML代码变为<input type= "text" value=""> <img src=1 onerror=alert(/xss/) /> ，此段HTML代码有两个标签，<input> 标签和<img>标签，而标签的作用就是让浏览器弹框显示"/xss/" ，代码如下所示。

<html>

<head>

	<meta http-equiv="Content-Type" content="text/html;charset=utf-8" />

	<title>XSS利用输出的环境来构造代码</title>

</head>

<body>

	<center>

	<h6>把我们输入的字符串 输出到input里的value属性里</h6>

	<form action="" method="get">

		<h6>请输入你想显现的字符串</h6>

		<input type="text" name="xss_input_value" value="输入"><br />

		<input type="submit">

	</form>

	<hr>

	<?php

		if (isset($_GET['xss_input_value'])) {

			echo '<input type="text" value="'.$_GET['xss_input_value'].'">';

		}else{

			echo '<input type="text" value="输出">';

		}

	?>

	</center>

</body>

</html>

页面http://192.168.1.100/xss1.php实现的功能是在"输入”表单中输入内容，单击"提交”按钮后，将输入的内容放到"输出”表单中，例如当输入"11”，单击"提交”按钮时，"11" 将被输出到"输出”表单中，效果如图所示。

当访问 http://192.168.1.100/xss1.php?xss_input_value="> <img src=1 onerror=alert (/xss/) /> 时，输出到页面的HTML代码变为<input type= "text" value=""> <img src=1 onerror=alert (/xss/) />,可以看到，输入的双引号闭合了value属性的双引号，输入的>闭合了input标签的<，导致输入的<img src=1 onerror=alert (/xss/) /> 变成了HTML标签。

接下来，在浏览器渲染时，执行了<img src=1 onerror=alert (/xss/) />，JS函数alert ()导致浏览器弹框，显示"/xss/" ，如下图所示。

存储型XSS攻击

在存储型XSS的PHP代码中，获取POST参数title和参数content,然后将参数插入数据库表XSS中，接下来通过select查询将表XSS中的数据查询出来，并显示到页面上，代码如下所示。

<html>

<head>

	<meta http-equiv="Content-Type" content="text/html;charset=utf-8" />

	<title>留言板</title>

</head>

<body>

	<center>

	<h6>输入留言内容</h6>

	<form action="" method="post">

		标题：<input type="text" name="title"><br />

		内容：<textarea name="content"></textarea><br />

		<input type="submit">

	</form>

	<hr>

	<?php

		$con=mysqli_connect("localhost","root","root","test");

		if (mysqli_connect_errno())

		{

			echo "连接失败: " . mysqli_connect_error();

		}

		if (isset($_POST['title'])) {

			$result1 = mysqli_query($con,"insert into xss(`title`, `content`) VALUES ('".$_POST['title']."','".$_POST['content']."')");

		}

		$result2 = mysqli_query($con,"select * from xss");

		echo "<table border='1'><tr><td>标题</td><td>内容</td></tr>";

		while($row = mysqli_fetch_array($result2))

		{

			echo "<tr><td>".$row['title'] . "</td><td>" . $row['content']."</td>";

		}

		echo "</table>";

	?>

	</center>

</body>

</html>

储存型XSS页面实现的功能是:获取用户输入的留言信息、标题和内容，然后将标题和内容插入到数据库中，并将数据库的留言信息输出到页面上。当用户在标题处写入<img src=1 onerror=alert(/xss/) />时，数据库中的数据如下所示。

当将title输出到页面时，页面执行了<img src=1 onerror=alert (/xss/) />，导致弹窗。

此时，这里的XSS是持久性的，也就是说，任何人访问时该URL时都会弹出一个显示"/xss/" 的框。

DOM型XSS攻击

DOM型XSS攻击页面实现的功能是在"输入”框中输入信息，单击"替换"按钮时，页面会将"这里会显示输入的内容"替换为输入的信息，例如当输入"11”的时候，页面将“这里会显示输入的内容”替换为“11"。

<html>

<head>

	<meta http-equiv="Content-Type" content="text/html;charset=utf-8" />

	<title>Test</title>

	<script type="text/javascript">

		function tihuan(){

			document.getElementById("id1").innerHTML = document.getElementById("dom_input").value;

		}

	</script>

</head>

<body>

	<center>

	<h6 id="id1">这里会显示输入的内容</h6>

	<form action="" method="post">

		<input type="text" id="dom_input" value="输入"><br />

		<input type="button" value="替换" onclick="tihuan()">

	</form>

	<hr>

	</center>

</body>

</html>

单击"替换"按钮时会执行JavaScript的tihuan () 函数，而tihuan () 函数是一个DOM操作，通过document getElementByld获取ID为id1的节点，然后将节点id1的内容修改成id为dom_ input中的值，即用户输入的值。当输入<img src=1 onerror=alert(/xsss/) />时，单击"替换”按钮，页面弹出消息框，但由于是隐式输出的，所以在查看源代码时，看不到输出的XSS代码。

XSS基础笔记 from 《Web安全攻防渗透测试实战指南》的更多相关文章

《Web安全攻防渗透测试实战指南》学习笔记（三）
Web安全攻防渗透测试实战指南学习笔记 (三) burp suite详解是一款集成化渗透测试工 ...
《Web安全攻防渗透测试实战指南》学习笔记（五）
Web安全攻防渗透测试实战指南学习笔记 (五) 第四章 Web安全原理解析 (一) (一)SQL注入的原理 1.web应用程序对用户输入数据的合法性没有判断. 2.参数用户可控:前端传给 ...
《Web安全攻防渗透测试实战指南》学习笔记（四）
Web安全攻防渗透测试实战指南学习笔记 (四) Nmap Network Mapper 是一款开放源代码的网 ...
《Web安全攻防渗透测试实战指南》学习笔记（二）
Web安全攻防渗透测试实战指南学习笔记 (二) 第二章漏洞环境及实践
《Web安全攻防渗透测试实战指南》学习笔记（一）
Web安全攻防渗透测试实战指南学习笔记 (一) 第一章信息收集在信息收集中,最重要是收集服务器的配置信息和网站敏感信息(域名及子域名信息目标网站系统.CMS指纹.目标网站真实I ...
渗透测试之信息收集（Web安全攻防渗透测试实战指南第1章）
收集域名信息获得对象域名之后,需要收集域名的注册信息,包括该域名的DNS服务器信息和注册人的联系方式等. whois查询对于中小型站点而言,域名所有人往往就是管理员,因此得到注册人的姓名和邮箱信息 ...
《Web安全攻防渗透测试实战指南》各类型 SQL注入实验过程整理
Union注入 https://www.jianshu.com/p/8a11bf55aaee Boolean注入 https://www.jianshu.com/p/e4086f59812d 报错注入 ...
[原创]Burp Suite web应用程序渗透测试神器
[原创]Burp Suite web应用程序渗透测试神器一 Burp Suite介绍 Burp Suite是Web应用程序测试的最佳工具之一,其多种功能可以帮我们执行各种任务.请求的拦截和修改,扫描 ...
Kali Linux渗透测试实战 1.1 Kali Linux简介
1.1 Kali Linux简介如果您之前使用过或者了解BackTrack系列Linux的话,那么我只需要简单的说,Kali是BackTrack的升级换代产品,从Kali开始,BackTrack将成 ...

随机推荐

【转】python调用youtube-dl实现视频下载
youtube-dl是一个命令行程序,用于从YouTube.com和更多网站下载视频.它需要Python解释器,版本2.6,2.7或3.2+,并且支持Unix,Windows或Mac OS X中运行. ...
SPSSAU新功能上线：高级公式、综合得分一键计算！
一直关注我们的朋友们一定会发现,近期SPSSAU增添了很多新功能. 我们精挑细选出6个最常使用的功能,介绍给大家,看看这些新功能你有没有解锁成功呢? 01 一键删除无效样本 “无效样本”功能中,添加了 ...
NET Core Kestrel部署HTTPS 一个服务器绑一个证书一个服务器绑多个证书
.net core 3.0 网站发布到centos后,绑定ssl证书,一个服务器绑一个证书,一个服务器绑多个证书开始之前:对于windows服务器不存在这个问题,在iis中绑定证书是非常简单的一件事 ...
Pyqt QImage 与 np array 转换方法
Pyqt QImage 与 np array 转换方法(转载) img=cv2.resize(src=img,dsize=None,fx=0.2,fy=0.2) img2=cv2.cvtColor(i ...
win10下MinGW的安装与配置（详细步骤）
一.安装mingw软件 1.进入官网 www.mingw.org 2.点击下载downloads 3.点击下载图标 4.点击install z 5.先选择安装的地址,再点击continue 6.等待相 ...
洛谷 P4343 [SHOI2015]自动刷题机
思路二分答案显然的二分答案,但是因为二分判定条件 \(\text{wa}\) 了好几遍-- 可以发现,\(n\) 越大,\(k\) 就越小,所以答案是有单调性的,因此可以用两个二分,一次求最大值, ...
今天来学习一下MySQl的临时表，变量，行转列，预处理的一些相关技术的使用！
先来简单了解一下MySQL数据库有意思的简介 MySQL这个名字,起源不是很明确.一个比较有影响的说法是,基本指南和大量的库和工具带有前缀“my”已经有10年以上, 而且不管怎样,MySQL AB创始 ...
【Unity C#编程】自定义数据
译林军灰魅|2014-03-04 10:52|10589次浏览|Unity(315)移动应用(31)技术开发(16)0 在这篇Unity C#的文章中,你将会创建一个简单的数据结构,然后写下它的属性 ...
Shader 语义
在书写HLSL shader程序时,输入和输出变量需要拥有他们含义来表明语义.这在HLSL shader中是一个标准的做法. Vertex shader 输入语义主顶点着色器函数(被指令 #pra ...
分数运算（gcd）
时间限制 1000 ms 内存限制 32768 KB 代码长度限制 100 KB 判断程序 Standard (来自小小) 题目描述计算机中采用浮点数表示所有实数,但这意味着精度丢失.例如无法精确 ...

XSS基础笔记 from 《Web安全攻防 渗透测试实战指南》