国产xxxx99真实实拍_久久不雅视频_高清韩国a级特黄毛片_嗯老师别我我受不了了小说

資訊專欄INFORMATION COLUMN

Web 安全漏洞之 XSS 攻擊

lieeps / 3220人閱讀

摘要:是一種經常出現在應用程序中的計算機安全漏洞,是由于應用程序對用戶的輸入過濾不足而產生的。常見的攻擊有三種反射型型存儲型。但是作為開發人員依然要了解基本知識于細節處避免制造漏洞。

編者說:作為JS系工程師接觸最多的漏洞我想就是 XSS 漏洞了,然鵝并不是所有的同學對其都有一個清晰的認識。今天我們請來了@盧士杰 同學為我們分享他眼中的 XSS 漏洞攻擊,希望能幫助到大家。

什么是 XSS 攻擊

XSS(Cross-Site Scripting)又稱跨站腳本,XSS的重點不在于跨站點,而是在于腳本的執行。XSS是一種經常出現在 Web 應用程序中的計算機安全漏洞,是由于 Web 應用程序對用戶的輸入過濾不足而產生的。

常見的 XSS 攻擊有三種:反射型、DOM-based 型、存儲型。 其中反射型、DOM-based 型可以歸類為非持久型 XSS 攻擊,存儲型歸類為持久型 XSS 攻擊。

1.反射型

反射型 XSS 一般是攻擊者通過特定手法(如電子郵件),誘使用戶去訪問一個包含惡意代碼的 URL,當受害者點擊這些專門設計的鏈接的時候,惡意代碼會直接在受害者主機上的瀏覽器執行。

對于訪問者而言是一次性的,具體表現在我們把我們的惡意腳本通過 URL 的方式傳遞給了服務器,而服務器則只是不加處理的把腳本“反射”回訪問者的瀏覽器而使訪問者的瀏覽器執行相應的腳本。反射型 XSS 的觸發有后端的參與,要避免反射性 XSS,必須需要后端的協調,后端解析前端的數據時首先做相關的字串檢測和轉義處理。

此類 XSS 通常出現在網站的搜索欄、用戶登錄口等地方,常用來竊取客戶端 Cookies 或進行釣魚欺騙。

整個攻擊過程大約如下:

2.DOM-based 型

客戶端的腳本程序可以動態地檢查和修改頁面內容,而不依賴于服務器端的數據。例如客戶端如從 URL 中提取數據并在本地執行,如果用戶在客戶端輸入的數據包含了惡意的 JavaScript 腳本,而這些腳本沒有經過適當的過濾和消毒,那么應用程序就可能受到 DOM-based XSS 攻擊。需要特別注意以下的用戶輸入源 document.URL、location.hash、location.searchdocument.referrer 等。

整個攻擊過程大約如下:

3.存儲型

攻擊者事先將惡意代碼上傳或儲存到漏洞服務器中,只要受害者瀏覽包含此惡意代碼的頁面就會執行惡意代碼。這就意味著只要訪問了這個頁面的訪客,都有可能會執行這段惡意腳本,因此儲存型XSS的危害會更大。

存儲型 XSS 一般出現在網站留言、評論、博客日志等交互處,惡意腳本存儲到客戶端或者服務端的數據庫中。

整個攻擊過程大約如下:

XSS 攻擊的危害

XSS 可以導致:

攻擊劫持訪問;

盜用 cookie 實現無密碼登錄;

配合 csrf 攻擊完成惡意請求;

使用 js 或 css 破壞頁面正常的結構與樣式等;

防御方法 1. XSS 防御之 HTML 編碼

應用范圍:將不可信數據放入到 HTML 標簽內(例如div、span等)的時候進行HTML編碼。

編碼規則:將 & < > " " / 轉義為實體字符(或者十進制、十六進制)。

示例代碼:

  function encodeForHTML(str, kwargs){
    return ("" + str)
      .replace(/&/g, "&")
      .replace(/ < HEX=> < Entity=> <
      .replace(/>/g, ">")
      .replace(/"/g, """)
      .replace(/"/g, "'")   // ' 不推薦,因為它不在HTML規范中
      .replace(///g, "/");
  };

HTML 有三種編碼表現方式:十進制、十六進制、命名實體。例如小于號(<)可以編碼為 "十進制> <", "十六進制=> <", "命名實體=> <" 三種方式。對于單引號(")由于實體字符編碼方式不在 HTML 規范中,所以此處使用了十六進制編碼。

2. XSS 防御之 HTML Attribute 編碼

應用范圍:將不可信數據放入 HTML 屬性時(不含src、href、style 和事件處理屬性),進行 HTML Attribute 編碼

編碼規則:除了字母數字字符以外,使用 HH;(或者可用的命名實體)格式來轉義ASCII值小于256所有的字符???????

示例代碼:

  function encodeForHTMLAttibute(str, kwargs){
    let encoded = "";
    for(let i = 0; i < str.length; i++) {
      let ch = hex = str[i];
      if (!/[A-Za-z0-9]/.test(str[i]) && str.charCodeAt(i) < 256) {
        hex = "&#x" + ch.charCodeAt(0).toString(16) + ";";
      }
      encoded += hex;
    }
    return encoded;
  };
3. XSS 防御之 JavaScript 編碼

作用范圍:將不可信數據放入事件處理屬性、JavaScirpt值時進行 JavaScript 編碼

編碼規則:除字母數字字符外,請使用xHH格式轉義ASCII碼小于256的所有字符

示例代碼:

  function encodeForJavascript(str, kwargs) {
    let encoded = "";
    for(let i = 0; i < str.length; i++) {
      let cc = hex = str[i];
      if (!/[A-Za-z0-9]/.test(str[i]) && str.charCodeAt(i) < 256) {
        hex = "x" + cc.charCodeAt().toString(16);
      }
      encoded += hex;
    }
    return encoded;
  };
4. XSS 防御之 URL 編碼

作用范圍:將不可信數據作為 URL 參數值時需要對參數進行 URL 編碼

編碼規則:將參數值進行 encodeURIComponent 編碼

示例代碼:

  function encodeForURL(str, kwargs){
    return encodeURIComponent(str);
  };
5. XSS 防御之 CSS 編碼

作用范圍:將不可信數據作為 CSS 時進行 CSS 編碼

編碼規則:除了字母數字字符以外,使用XXXXXX格式來轉義ASCII值小于256的所有字符

示例代碼:

  function encodeForCSS (attr, str, kwargs){
    let encoded = "";
    for (let i = 0; i < str.length; i++) {
      let ch = str.charAt(i);
      if (!ch.match(/[a-zA-Z0-9]/) {
        let hex = str.charCodeAt(i).toString(16);
        let pad = "000000".substr((hex.length));
        encoded += "" + pad + hex;
      } else {
        encoded += ch;
      }
    }
    return encoded;
  };
后記

在任何時候用戶的輸入都是不可信的。對于 HTTP 參數,理論上都要進行驗證,例如某個字段是枚舉類型,其就不應該出現枚舉以為的值;對于不可信數據的輸出要進行相應的編碼;此外httpOnly、CSP、X-XSS-Protection、Secure Cookie 等也可以起到有效的防護。

XSS 漏洞有時比較難發現,所幸當下React、Vue等框架都從框架層面引入了 XSS 防御機制,一定程度上解放了我們的雙手。
但是作為開發人員依然要了解 XSS 基本知識、于細節處避免制造 XSS 漏洞。框架是輔助,我們仍需以人為本,規范開發習慣,提高 Web 前端安全意識。

參考文檔

http://www.qa-knowhow.com/?p=1467

https://brajeshwar.github.io/entities/

https://excess-xss.com/

https://github.com/chrisisbeef/jquery-encoder

文章版權歸作者所有,未經允許請勿轉載,若此文章存在違規行為,您可以聯系管理員刪除。

轉載請注明本文地址:http://specialneedsforspecialkids.com/yun/108694.html

相關文章

  • 《網絡黑白》一書所抄襲的文章列表

    摘要:網絡黑白一書所抄襲的文章列表這本書實在是垃圾,一是因為它的互聯網上的文章拼湊而成的,二是因為拼湊水平太差,連表述都一模一樣,還抄得前言不搭后語,三是因為內容全都是大量的科普,不涉及技術也沒有干貨。 《網絡黑白》一書所抄襲的文章列表 這本書實在是垃圾,一是因為它的互聯網上的文章拼湊而成的,二是因為拼湊水平太差,連表述都一模一樣,還抄得前言不搭后語,三是因為內容全都是大量的科普,不涉及技術...

    zlyBear 評論0 收藏0
  • 【面試篇】寒冬求職你必須要懂的Web安全

    摘要:禁止內聯腳本執行規則較嚴格,目前發現使用。典型的攻擊流程受害者登錄站點,并保留了登錄憑證。站點接收到請求后,對請求進行驗證,并確認是受害者的憑證,誤以為是無辜的受害者發送的請求。攻擊完成,攻擊者在受害者不知情的情況下,冒充受害者完成了攻擊。 隨著互聯網的發展,各種Web應用變得越來越復雜,滿足了用戶的各種需求的同時,各種網絡安全問題也接踵而至。作為前端工程師的我們也逃不開這個問題,今天一起...

    yeyan1996 評論0 收藏0
  • 【面試篇】寒冬求職你必須要懂的Web安全

    摘要:禁止內聯腳本執行規則較嚴格,目前發現使用。典型的攻擊流程受害者登錄站點,并保留了登錄憑證。站點接收到請求后,對請求進行驗證,并確認是受害者的憑證,誤以為是無辜的受害者發送的請求。攻擊完成,攻擊者在受害者不知情的情況下,冒充受害者完成了攻擊。 隨著互聯網的發展,各種Web應用變得越來越復雜,滿足了用戶的各種需求的同時,各種網絡安全問題也接踵而至。作為前端工程師的我們也逃不開這個問題,今天...

    charles_paul 評論0 收藏0
  • web 應用常見安全漏洞一覽

    摘要:應用常見安全漏洞一覽注入注入就是通過給應用接口傳入一些特殊字符,達到欺騙服務器執行惡意的命令。此外,適當的權限控制不曝露必要的安全信息和日志也有助于預防注入漏洞。 web 應用常見安全漏洞一覽 1. SQL 注入 SQL 注入就是通過給 web 應用接口傳入一些特殊字符,達到欺騙服務器執行惡意的 SQL 命令。 SQL 注入漏洞屬于后端的范疇,但前端也可做體驗上的優化。 原因 當使用外...

    darkerXi 評論0 收藏0

發表評論

0條評論

lieeps

|高級講師

TA的文章

閱讀更多
最新活動
閱讀需要支付1元查看
<