摘要
XSS(Cross Site Script)跨站脚本攻击。它指的是恶意攻击者往Web 页面里插入恶
意html 代码，当用户浏览该页之时，嵌入其中Web 里面的html 代码会被执行，从而
达到恶意用户的特殊目的。本文介绍了该攻击方式，并给出了一些防范措施。
原理
XSS 属于被动式的攻击。攻击者先构造一个跨站页面，利用script、<IMG>、
<IFRAME>等各种方式使得用户浏览这个页面时，触发对被攻击站点的http 请求。此时，
如果被攻击者如果已经在被攻击站点登录，就会持有该站点cookie。这样该站点会认为
被攻击者发起了一个http 请求。而实际上这个请求是在被攻击者不知情的情况下发起
的，由此攻击者在一定程度上达到了冒充被攻击者的目的。精心的构造这个攻击请求，
可以达到冒充发文，夺取权限等等多个攻击目的。在常见的攻击实例中，这个请求是通
过script 来发起的，因此被称为Cross Site Script。
攻击Yahoo Mail 的Yamanner 蠕虫是一个著名的XSS 攻击实例。Yahoo Mail 系统
有一个漏洞，当用户在web 上察看信件时，有可能执行到信件内的javascript 代码。病
毒可以利用这个漏洞使被攻击用户运行病毒的script。同时Yahoo Mail 系统使用了Ajax
技术，这样病毒的script 可以很容易的向Yahoo Mail 系统发起ajax 请求，从而得到用
户的地址簿，并发送病毒给他人。
XSS 攻击主要分为两类：一类是来自内部的攻击，主要指的是利用WEB 程序自身
的漏洞，提交特殊的字符串，从而使得跨站页面直接存在于被攻击站点上，这个字符串
被称为跨站语句。这一类攻击所利用的漏洞非常类似于SQL Injection 漏洞，都是WEB
程序没有对用户输入作充分的检查和过滤。上文的Yamanner 就是一例。
另一类则是来来自外部的攻击，主要指的自己构造XSS 跨站漏洞网页或者寻找非目
标机以外的有跨站漏洞的网页。如当我们要渗透一个站点，我们自己构造一个跨站网页
放在自己的服务器上，然后通过结合其它技术，如社会工程学等，欺骗目标服务器的管
理员打开。这一类攻击的威胁相对较低，至少ajax 要发起跨站调用是非常困难的。
实战
我们来看一个简单的攻击实例，下表给出了一个简单的网站
http://10.10.67.25:8080/testxss，该网站的密码和用户名相同，普通用户可以修改user
value，当以admin 身份登陆时可以通过向doadmin.jsp 发起请求来修改admin value。
| |
|
index.jsp
<html>
<body>
<textarea rows="3" cols="100" readonly="on">
Current User: ${username}
Admin Value: ${adminvalue}
User Value: ${uservalue}
</textarea>
<br>
<a href="login.jsp"/>logout</a><br>
Login:<br>
<form action="login.jsp" method="post">
username: <input type="text" name="u"></input> <br>
password: <input type="text" name="p"></input> <br>
<input type="submit" /> password == username :-)
</form>
<form action="doadmin.jsp" method="post">
adminvalue: <input type="text" name="v"></input> <br>
<input type="submit" />
</form>
<form action="doadmin.jsp" method="post">
uservalue: <input type="text" name="v2"></input> <br>
<input type="submit" />
</form>
</body> |
|
| |
login.jsp
<%
String u = request.getParameter("u");
String p = request.getParameter("p");
if (u != null && p != null && u.equals(p)) {
session.setAttribute("username", u);
} else {
session.removeAttribute("username");
}
response.sendRedirect("index.jsp");
%> |
|
| |
doadmin.jsp
<%
String u = (String)session.getAttribute("username");
String v = request.getParameter("v");
String v2 = request.getParameter("v2");
if (u != null && u.equals("admin")) {
if (v != null)
application.setAttribute("adminvalue", v);
搜狐公司研发中心版权所有，仅供技术交流，转载请保留上述文字
}
if (u != null && v2 != null)
application.setAttribute("uservalue", v2);
response.sendRedirect("index.jsp");
%> |
|
|
容易想到，只要诱骗admin 用户发起一个到
http://10.10.67.25:8080/testxss/doadmin.jsp 的http 请求，就能成功攻击。因此我们设
计跨站语句如下：
hello </textarea> <img src="http://tinyurldd.com/2xwfed" style="display:none"> </img>
hello </textarea> <form id="shit" action="http://10.10.67.25:8080/testxss/doadmin.jsp" metho
nd="post" target="myframe"/> <input type="hidden" name="v" value="hacked3"/> </form> <iframe
style="display:none" name="myframe"> </iframe><script>document.forms[0].submit()</script>
hello </textarea> <script language="jscript">v = new ActiveXObject("MSXML2.XMLHTTP.3.0"); v.
open("GET","http://10.10.67.25:8080/testxss/doadmin.jsp?v=hacked4"); v.send();alert(v.status
Text);</script>
以普通用户身份修改user value 为以上任何一个，当admin 浏览index.jsp 时，即
可悄无声息的修改admin value
这里演示了3 种跨站手法，1 是利用img、iframe 等tag 直接发起请求，这适用于
无法直接出script 的情况，其中http://tinyurldd.com/2xwfed 是一个redirect，指向
http://10.10.67.25:8080/testxss/doadmin.jsp?v=hacked2 ；2 是用script 提交post 表
单；3 是ajax 技术。
以上攻击能够成功有2 个原因：1. 应用程序没有对user value 做足够多的过滤，导
致用户有机会构造一个复杂的跨站语句来触发admin 的非预期行为；2. 应用程序在响
应admin value 修改请求时没有防范措施来识别这是不是出于用户主动。
漏洞1 很容易修复，只要像防止SQL Injection 那样对用户输入的所有内容都过滤即
可。漏洞2 才是问题的根源，即便我们修补了漏洞1，只要诱使admin 用户访问包含<img
src="http://tinyurldd.com/2xwfed"> </img>的页面，仍然能达到目的，而这是一件极容易
做到的事。
防范措施
这里给出一些防范XSS 攻击的措施。必须说明的是，对于XSS 攻击，并不像SQL
Injection 那样可以有一劳永逸的解决方案——只需要grep 一下所有的sql 调用。这是一
场长期的斗争，而且往往需要我们采取修改业务流程、产品设计等看似削足适履的手段。
先总结一下常见的攻击手法：
1. 依赖跨站漏洞，需要在被攻击网站的页面种入脚本的手法
1.1. Cookie 盗取，通过javascript 获取被攻击网站种下的cookie，并发送给攻击者。
1.1.1. 从cookie 中提取密码等隐私
1.1.2. 利用cookie 伪造session，发起重放攻击
1.2. Ajex 信息盗取，通过javascript 发起ajex 请求。
1.2.1. 从ajex 结果中获取隐私。
1.2.2. 模拟用户完成多页表单。
2. 不依赖跨站漏洞的手法
搜狐公司研发中心版权所有，仅供技术交流，转载请保留上述文字
2.1. 单向HTTP 动作，通过img.src 等方法发起跨站访问，冒充被攻击者执行特权操作。
但是很难拿到服务器的返回值。
2.2. 双向HTTP 动作，如果服务器产生一段动态的script，那么可以用script.src 的方法
发起跨站访问并拿到服务器的返回值。
防范手法如下：
1. 防堵跨站漏洞，阻止攻击者利用在被攻击网站上发布跨站攻击语句
不可以信任用户提交的任何内容，首先代码里对用户输入的地方和变量都需要仔细
检查长度和对”<”,”>”,”;”,”’”等字符做过滤；其次任何内容写到页面之前都必须加以
encode，避免不小心把html tag 弄出来。
这一个层面做好，至少可以堵住超过一半的XSS 攻击。
2. Cookie 防盗
首先避免直接在cookie 中泄露用户隐私，例如email、密码等等。
其次通过使cookie 和系统ip 绑定来降低cookie 泄露后的危险。这样攻击者得到的
cookie 没有实际价值，不可能拿来重放。
3. 尽量采用POST 而非GET 提交表单
POST 操作不可能绕开javascript 的使用，这会给攻击者增加难度，减少可利用的
跨站漏洞。
4. 严格检查refer
检查http refer 是否来自预料中的url。这可以阻止第2 类攻击手法发起的http 请求，
也能防止大部分第1 类攻击手法，除非正好在特权操作的引用页上种了跨站访问。
5. 将单步流程改为多步，在多步流程中引入效验码
多步流程中每一步都产生一个验证码作为hidden 表单元素嵌在中间页面，下一步操
作时这个验证码被提交到服务器，服务器检查这个验证码是否匹配。首先这为第1 类攻
击者大大增加了麻烦。其次攻击者必须在多步流程中拿到上一步产生的效验码才有可能
发起下一步请求，这在第2 类攻击中是几乎无法做到的。
6. 引入用户交互
简单的一个看图识数可以堵住几乎所有的非预期特权操作。
7. 只在允许anonymous 访问的地方使用动态的javascript。
8. 对于用户提交信息的中的img 等link，检查是否有重定向回本站、不是真的图片等
可疑操作。
9. 内部管理网站的问题
很多时候，内部管理网站往往疏于关注安全问题，只是简单的限制访问来源。这种
网站往往对XSS 攻击毫无抵抗力，需要多加注意。
安全问题需要长期的关注，从来不是一锤子买卖。XSS 攻击相对其他攻击手段更加
隐蔽和多变，和业务流程、代码实现都有关系，不存在什么一劳永逸的解决方案。此外，
面对XSS，往往要牺牲产品的便利性才能保证完全的安全，如何在安全和便利之间平衡
也是一件需要考虑的事情。
相关推荐
【作品名称】：基于servlet+jsp+mysql实现的影视管理系统【课程设计】 【适用人群】：适用于希望学习不同技术领域的小白或进阶学习者。可作为毕设项目、课程设计、大作业、工程实训或初期项目立项。 【项目介绍】： 基于servlet+jsp+mysql实现的影视管理系统【课程设计】 基于servlet+jsp+mysql实现的影视管理系统【课程设计】 Java Web课程设计，基于servlet+jsp+ajax+mysql做的影视管理系统 运行环境： Tomcat 9.0 JDK 1.8 MySQL 8.0 后台管理账号密码均为：root，项目依赖：lib 目录 【资源声明】：本资源作为“参考资料”而不是“定制需求”，代码只能作为参考，不能完全复制照搬。需要有一定的基础看懂代码，自行调试代码并解决报错，能自行添加功能修改代码。
kernel-5.15-ky10-x86.tar.gz
【作品名称】：基于AT89C51 单片机为核心器件，程序设计采用C 语言，Keil 软件编译程序，配以相关外围接口电路，实现了方波、锯齿波、正弦波、三角波、梯形波五种特定波形的产生【论文+源码】 【适用人群】：适用于希望学习不同技术领域的小白或进阶学习者。可作为毕设项目、课程设计、大作业、工程实训或初期项目立项。 【项目介绍】：本设计中的波形发生器系统要求基于51单片机，因此选用以AT89C51单片机作为整个系统的控制核心，应用其强大的接口功能，构成整个波形发生器的硬件系统。使用C 语言对单片机编程可产生相应的正弦波，方波，三角波，锯齿波梯形波波形信号。在程序运行时，当接收到按键信息后，需要输出某种波形时，调用相应的中断服务子程序和波形发生程序，经电路的数/模转换器和运算放大器处理后，从信号发生器的输出端口输出即可得到要求的波形。 当需要改变频率时只需要改变单片机的波形发生程序中的递增或者递减变量即可。 【资源声明】：本资源作为“参考资料”而不是“定制需求”，代码只能作为参考，不能完全复制照搬。需要有一定的基础看懂代码，自行调试代码并解决报错，能自行添加功能修改代码。
基于java的法律咨询系统设计与实现.docx
适用于元营销 API 的 Python SDK适用于 Python 的 Facebook Business SDK 介绍Facebook Business SDK是一站式服务，可帮助我们的合作伙伴更好地服务于他们的业务。合作伙伴正在使用多个 Facebook API 来满足其客户的需求。采用所有这些 API 并在各个平台上保持最新状态可能非常耗时，而且最终会造成高昂的成本。为此，Facebook 开发了 Business SDK，将其许多 API 捆绑到一个 SDK 中，以简化实施和维护。Business SDK 是 Marketing API SDK 的升级版，其中包括 Marketing API 以及来自不同平台（如 Pages、Business Manager、Instagram 等）的许多 Facebook API。快速入门商业SDK入门指南Python 目前是我们第三方开发人员最常用的语言。是一个 Python 包，它提供了您的 Python 应用程序与Business SDK 内的 Facebook APIfacebook_business之间的
数学建模培训资料 数学建模实战题目真题答案解析解题过程&论文报告 公交车调度的运作数学模型 共12页.pdf
smart-http 是一款可编程的 Http 应用微内核，方便用户根据自身需求进行 Server 或 Client 的应用开发。支持GET、POST的 HTTP 请求。提供了 URL 路由组件，可以快速搭建一套静态服务器。支持部分 RFC2612 规范，后续会逐渐完善。支持 Https 协议，由 smart-socket 为其赋能。具备文件上传的能力。支持 websocket、Cookie支持 Server、Client 开发
新闻资讯系统 微信小程序+SpringBoot毕业设计 源码+数据库+论文+启动教程 项目启动教程：https://www.bilibili.com/video/BV1oiBpYcEBp
高校师生工作室-JAVA-基于微信小程序的高校师生工作室管理系统的设计与实现
基于java的常见小儿疾病中医护理系统设计与实现.docx
本教程播放列表涵盖了 Python 中的数据结构和算法。每个教程都有数据结构或算法背后的理论、BIG O 复杂性分析和可供练习的练习。使用 Python 的数据结构和算法本教程涵盖了 Python 中的数据结构和算法。每个教程都包含数据结构或算法背后的理论、BIG O 复杂度分析以及可供练习的练习。要观看视频，您可以访问播放列表https://www.youtube.com/playlist?list=PLeo1K3hjS3uu_n_a__MI_KktGTLYopZ12订阅 codebasics youtube 频道https://www.youtube.com/c/codebasics
数学建模学习资料 蒙特卡罗方法课件教程 第2章.随机数 共29页.pptx
python实现基于CNN网络的新闻数据集文本分类源码+数据集（Python期末大作业），个人大三学期的期末大作业、经导师指导并认可通过的高分大作业设计项目，评审分98分。主要针对计算机相关专业的正在做大作业的学生和需要项目实战练习的学习者，可作为课程设计、期末大作业。 python实现基于CNN网络的新闻数据集文本分类源码+数据集（Python期末大作业）python实现基于CNN网络的新闻数据集文本分类源码+数据集（Python期末大作业），个人大三学期的期末大作业、经导师指导并认可通过的高分大作业设计项目，评审分98分。主要针对计算机相关专业的正在做大作业的学生和需要项目实战练习的学习者，可作为课程设计、期末大作业。python实现基于CNN网络的新闻数据集文本分类源码+数据集（Python期末大作业），个人大三学期的期末大作业、经导师指导并认可通过的高分大作业设计项目，评审分98分。主要针对计算机相关专业的正在做大作业的学生和需要项目实战练习的学习者，可作为课程设计、期末大作业。python实现基于CNN网络的新闻数据集文本分类源码+数据集（Python期末大作业），个人大
中小学知识产权教育试点学校申报表.doc
基于django的音乐推荐系统.zip
在建工程涉及专项行动情况检查表.docx
本项目是一个基于Python技术的学生管理系统，采用Django框架进行开发，旨在为计算机相关专业的学生提供一个实践性强、功能全面的管理系统，以帮助他们完成毕业设计或进行项目实战练习。 系统实现了对学生信息、课程信息、成绩、考勤等多方面的管理功能。学生信息管理包括学生基本信息的增删改查；课程信息管理允许管理员设置课程信息，包括课程名称、授课老师、学分等；成绩管理功能使学生和教师能够录入、查看和修改成绩；考勤管理则方便教师记录学生的出勤情况。 该项目采用B/S架构，前端使用HTML、CSS、JavaScript等技术，后端使用Python语言和Django框架，数据库采用MySQL。Django框架提供了强大的后台管理功能，使得系统管理更加便捷。 通过开发这个项目，学生不仅能提升自己的编程能力，还能学习到如何构建一个实际应用的系统，对于即将步入职场的学生来说，具有很高的实用价值。
适用于 Python 的 Splunk 软件开发工具包参考文档适用于 Python 的 Splunk Enterprise 软件开发工具包版本 2.1.0适用于 Python 的 Splunk Enterprise 软件开发套件 (SDK) 包含库代码，旨在使开发人员能够使用 Splunk 平台构建应用程序。Splunk 平台是一个搜索引擎和分析环境，它使用分布式 map-reduce 架构来有效地索引、搜索和处理大型时变数据集。Splunk 平台深受系统管理员的欢迎，用于聚合和监控 IT 机器数据、安全性、合规性以及各种其他场景，这些场景都需要有效地从大量时间序列数据中索引、搜索、分析和生成实时通知。Splunk 开发者平台使开发人员能够利用 Splunk 平台所使用的相同技术来构建令人兴奋的新应用程序。开始使用 Python 版 Splunk SDK开始使用 Python 版 Splunk Enterprise SDKSplunk Enterprise SDK for Python 包含库代码，其示例位于splunk-app-examples存储库
分布式事务练习
家庭财务管理系统 微信小程序+SSM毕业设计 源码+数据库+论文+启动教程 项目启动教程：https://www.bilibili.com/video/BV1BfB2YYEnS