深圳市专业做网站,小程序登录不上什么原因,网站如何推广好,江苏网站建设 博敏网站XSS(DOM)
跨站点脚本#xff08;XSS#xff09;攻击是一种注入攻击#xff0c;恶意脚本会被注入到可信的网站中。当攻击者使用 web 应用程序将恶意代码#xff08;通常以浏览器端脚本的形式#xff09;发送给其他最终用户时#xff0c;就会发生 XSS 攻击。允许这些攻击成…XSS(DOM)
跨站点脚本XSS攻击是一种注入攻击恶意脚本会被注入到可信的网站中。当攻击者使用 web 应用程序将恶意代码通常以浏览器端脚本的形式发送给其他最终用户时就会发生 XSS 攻击。允许这些攻击成功的漏洞很多并且在 web 应用程序的任何地方都有可能发生这些漏洞会在使用用户的输入没有对其进行验证或编码。 攻击者可以使用 XSS 向不知情的用户发送恶意脚本用户的浏览器并不知道脚本不应该被信任并将执行 JavaScript。因为它认为脚本来自可信来源所以恶意脚本可以访问浏览器并作用于该站点的任何 cookie、会话令牌或其他敏感信息甚至可以重写 HTML 页面的内容。基于 DOM 的 XSS 是一种特殊的反射型 XSS通过将 JavaScript 隐藏在 URL 中。基于 DOM 的 XSS 将在页面呈现时被 JavaScript 拉出而不是在服务时嵌入到页面中。这会使它比其他攻击更隐蔽WAF 或其他保护读取页面正文时看不到任何恶意内容。 在另一个用户的浏览器中运行你自己的 JavaScript用它窃取登录用户的 cookie。 XSS全称Cross Site Scripting即跨站脚本攻击某种意义上也是一种注入攻击是指攻击者在页面中注入恶意的脚本代码当受害者访问该页面时恶意代码会在其浏览器上执行需要强调的是XSS不仅仅限于JavaScript还包括flash等其它脚本语言。根据恶意代码是否存储在服务器中XSS可以分为存储型的XSS与反射型的XSS。 DOM—based XSS漏洞是基于文档对象模型Document Objeet ModelDOM)的一种漏洞。DOM是一个与平台、编程语言无关的接口它允许程序或脚本动态地访问和更新文档内容、结构和样式处理后的结果能够成为显示页面的一部分。DOM中有很多对象其中一些是用户可以操纵的如uRIlocationrefelTer等。客户端的脚本程序可以通过DOM动态地检查和修改页面内容它不依赖于提交数据到服务器端而从客户端获得DOM中的数据在本地执行如果DOM中的数据没有经过严格确认就会产生DOM—based XSS漏洞。
可能触发DOM型XSS的属性
document.referer属性
window.name属性
location属性
innerHTML属性
documen.write属性
Low Level
在将请求的输入包含在输出文本中之前Low level 将不检查请求的输入。 源码审计
源码如下服务器没有任何防御措施。
?php# No protections, anything goes? 接下来我们看一下前端的代码该页面是个下拉页面用于选择默认语言。F12 打开点一点 HTML 标签看到如下 JS 代码。document 表示的是一个文档对象Location 对象包含有关当前 URL 的信息href 属性是一个可读可写的字符串可设置或返回当前显示的文档的完整 URL。也就是说 “document.location.href” 的写法得到页面的 URL而 indexOf() 方法可返回某个指定的字符串值在字符串中首次出现的位置这里用来判断 “default” 是否在 URL 中。substring(start,stop) 方法用于提取字符串中两个指定下标之间的字符然后存到 lang 变量中decodeURI() 函数可对 encodeURI() 函数编码过的 URI 进行解码。document.write 是 JavaScript 中对 document.open 所开启的文档流操作的 API 方法它能够直接在文档流中写入字符串。
if (document.location.href.indexOf(default) 0) {var lang document.location.href.substring(document.location.href.indexOf(default) 8);document.write(option value lang decodeURI(lang) /option);document.write(option value disableddisabled----/option);
}document.write(option valueEnglishEnglish/option);
document.write(option valueFrenchFrench/option);
document.write(option valueSpanishSpanish/option);
document.write(option valueGermanGerman/option);选择下拉列表内容选择的值会赋给 default 并添加到 url 的末尾再将其传给 option 标签的 value 结点。也就是说我们可以注入一些 JS 代码进去然后这部分会被包含到 lang 变量中最终回显到页面上。
攻击方式
HTML DOM 有个 alert() 方法用于显示带有一条指定消息和一个 OK 按钮的警告框。document.cookie 里面可以读到 cookie 信息我们可以把 cookie 放在一个 alert() 生成的警告框中回显时就会得到我们想要的信息了。注入的payload 如下所示
scriptalert(document.cookie)/script注入 payload 之后前端的代码中会加入下面这个结点。 Medium Level
开发人员尝试添加一个简单的模式匹配删除对 “script” 的任何引用以此禁用任何 JavaScript攻击者需要找到一种不使用脚本标记运行 JavaScript 的方法。
源码审计
前端代码不变后端代码如下所示。array_key_exists() 函数检查某个数组中是否存在指定的键名如果键名存在返回 true键名不存在则返回 false。stripos(string,find,start) 函数查找字符串在另一字符串中第一次出现的位置不区分大小写header() 函数向客户端发送原始的 HTTP 报头。也就是说现在服务器通过一个模式匹配过滤了 “script” 标签我们就不能直接注入 JS 代码了。
?php// Is there any input?
if (array_key_exists(default, $_GET) !is_null ($_GET[ default])){$default $_GET[default];# Do not allow script tagsif (stripos ($default, script) ! false){header (location: ?defaultEnglish);exit;}
}? 攻击方式
这种防御形同虚设因为我们可以直接注入标签将 cookie 显示出来。HTML 的 img 标签定义 HTML 页面中的图像该标签支持 onerror 事件在装载文档或图像的过程中如果发生了错误就会触发。使用这些内容构造出 payload 如下因为我们没有图片可供载入因此会出错从而触发 onerror 事件输出 cookie。
English/option/selectimg src 1 onerror alert(document.cookie)注入 payload 之后前端的代码中会加入下面这个结点。 High Level
开发人员现在设置了白名单只允许传递语言单词作为参数.你必须找到一种方法来运行你的代码不要让它传到服务器上。
源码审计
前端代码不变后端代码如下所示。服务器设置了白名单default 参数只接受 FrenchEnglishGerman 以及 Spanish 这几个单词。
?php// Is there any input?
if (array_key_exists(default, $_GET) !is_null ($_GET[default])){# White list the allowable languagesswitch ($_GET[default]){case French:case English:case German:case Spanish:# okbreak;default:header (location: ?defaultEnglish);exit;}
}? 攻击方式
可以在注入的 payload 中加入注释符 “#”注释后边的内容不会发送到服务端但是会被前端代码所执行。 Impossible Level
大多数情况下浏览器都会对 URL 中的内容进行编码这会阻止任何注入的 JavaScript 被执行。
?php# Dont need to do anything, protction handled on the client side?服务器不需要多做什么在客户端会对 URL 进行编码。
if (document.location.href.indexOf(default) 0) {var lang document.location.href.substring(document.location.href.indexOf(default) 8);document.write(option value lang (lang) /option);document.write(option value disableddisabled----/option);
}document.write(option valueEnglishEnglish/option);
document.write(option valueFrenchFrench/option);
document.write(option valueSpanishSpanish/option);
document.write(option valueGermanGerman/option);总结与防御
DOM 型 XSS 是特殊的反射性 XSS是基于 DOM 文档对象模型的漏洞。DOM (Document Object Model) 译为文档对象模型是 HTML 和 XML 文档的编程接口可以使程序和脚本能动态访问和更新文档的内容、结构和样式。HTML 标签作为结点构成了 DOM 节点树树中的节点都可以通过 JavaScript 进行访问。 当网页被浏览器请求是浏览器会为页面创建一个顶级的 Document object 文档对象然后生成各个子文档的对象每个页面都会对应一个文档对象每个文档对象都包含属性、方法和事件。Document object 文档对象可以通过 JavaScript 脚本进行编辑客户端可以通过 DOM 修改页面的内容从而获取 DOM 中的数据在本地执行。由于这个漏洞存在于前端因此 DOM 型 XSS 漏洞不需要和服务器交互。 XSS 的攻击方式为攻击者请求一个带有 payload 的 URL服务器的响应不会以任何形式包含攻击者的脚本。当时当用户的浏览器处理这个响应时DOM 对象就会处理 XSS 代码。XSS 漏洞的修复方式有以下 2 种
过滤输入的字符例如 “ ”“ ”“”“” 等非法字符对输出到页面的数据进行编码。
XSS(Reflected)
XSS攻击需要具备两个条件
需要向web页面注入恶意代码这些恶意代码能够被浏览器成功的执行
XSS反射型漏洞
反射型XSS顾名思义在于“反射”这个一来一回的过程。反射型XSS的触发有后端的参与而之所以触发XSS是因为后端解析用户在前端输入的带有XSS性质的脚本或者脚本的data URI编码后端解析用户输入处理后返回给前端由浏览器解析这段XSS脚本触发XSS漏洞。因此如果要避免反射性XSS则必须需要后端的协调在后端解析前端的数据时首先做相关的字串检测和转义处理同时前端同样也许针对用户的数据做excape转义保证数据源的可靠性
基本原理就是通过给别人发送带有恶意脚本代码参数的URL当URL地址被打开时特定的代码参数会被HTML解析执行如此就可以获取用户的COOIKE进而盗号登陆。
特点是非持久化 必须用户点击带有特定参数的链接才能引起。 XSS反射型攻击恶意代码并没有保存在目标网站通过引诱用户点击一个链接到目标网站的恶意链接来实施攻击的。 Low Level
Low level will not check the requested input, before including it to be used in the output text. 将请求的输入包含在输出文本中之前Low level 将不检查请求的输入。
源码审计
源码如下服务器只是判断了 name 参数是否为空如果不为空的话就直接打印出来。服务器并没有对 name 参数做任何的过滤和检查存在明显的 XSS 漏洞。
?phpheader (X-XSS-Protection: 0);// Is there any input?
if(array_key_exists(name, $_GET) $_GET[name] ! NULL){// Feedback for end userecho preHello . $_GET[name] . /pre;
}? 攻击方式
HTML DOM 有个 alert() 方法用于显示带有一条指定消息和一个 OK 按钮的警告框。document.cookie 里面可以读到 cookie 信息我们可以把 cookie 放在一个 alert() 生成的警告框中回显时就会得到我们想要的信息了。注入的payload 如下所示
scriptalert(document.cookie)/script 注入 payload 之后前端的代码中会加入下面这个结点。 Medium Level
The developer has tried to add a simple pattern matching to remove any references to script , to disable any JavaScript. 开发人员尝试添加一个简单的模式匹配来删除对 “ script ” 的任何引用从而禁用任何 JavaScript 脚本。
源码审计
源码如下array_key_exists() 函数检查某个数组中是否存在指定的键名如果键名存在返回 true键名不存在则返回 false。str_replace() 函数替换字符串中的一些字符区分大小写,此处会检查 name 参数中是否有 “ script ”如果有则替换为空。
?phpheader (X-XSS-Protection: 0);// Is there any input?
if(array_key_exists(name, $_GET) $_GET[name] ! NULL){// Get input$name str_replace(script, , $_GET[name]);// Feedback for end userecho preHello ${name}/pre;
}? 攻击方式
虽然服务器把 “ script ” 过滤了但是这并没有什么用因为将该标签大写也能起到相同的效果。使用大写绕过构造 payload
SCRIPTalert(document.cookie)/SCRIPT当然绕过方式不唯一使用双写绕过也行。
scscriptriptalert(/xss/)/scriptHigh Level
开发人员相信可以通过删除模式 “script” 来禁用所有的 JavaScript。
源码审计
源码如下preg_replace() 函数执行一个正则表达式的搜索和替换“*” 代表一个或多个任意字符“i” 代表不区分大小写。也就是说 “ script ” 标签在这里被完全过滤了但是我们可以通过其他的标签例如 img、body 等标签的事件或者iframe 等标签的 src 注入 JS 攻击脚本。
?phpheader (X-XSS-Protection: 0);// Is there any input?
if(array_key_exists(name, $_GET) $_GET[name] ! NULL){// Get input$name preg_replace( /(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i, , $_GET[name]);// Feedback for end userecho preHello ${name}/pre;
}? 攻击方式
这种防御形同虚设因为我们可以直接注入标签将 cookie 显示出来。HTML 的 img 标签定义 HTML 页面中的图像该标签支持 onerror 事件在装载文档或图像的过程中如果发生了错误就会触发。使用这些内容构造出 payload 如下因为我们没有图片可供载入因此会出错从而触发 onerror 事件输出 cookie。
img src 1 onerror alert(document.cookie)Impossible Level
Using inbuilt PHP functions (such as htmlspecialchars()), its possible to escape any values which would alter the behaviour of the input. 使用内置的 PHP 函数例如 “htmlspecialchars”可以转义任何会改变输入行为的值。
?php// Is there any input?
if(array_key_exists(name, $_GET) $_GET[name] ! NULL ) {// Check Anti-CSRF tokencheckToken($_REQUEST[user_token], $_SESSION[session_token], index.php );// Get input$name htmlspecialchars($_GET[name]);// Feedback for end userecho preHello ${name}/pre;
}// Generate Anti-CSRF token
generateSessionToken();? htmlspecialchars() 函数用于把预定义的字符 和 转换为 HTML 实体防止了我们注入 HTML 标签。例如我们注入 “”htmlspecialchars 函数会将 和 转换成 html 实体而不是当做标签所以我们插入的语句并不会被执行。同时加入 Anti-CSRF token 防护 CSRF 攻击进一步提高安全性。 总结与防御
跨站脚本 (Cross-Site Scripting) 是一种针对 Web 程序的代码注入型漏洞攻击它允许攻击者将恶意脚本注入网页使得其他用户浏览网页时收到影响。所谓反射型 XSS 就是提交了恶意脚本实现的 XSS 仅对这次访问产生了影响并非持久性的 XSS 攻击。 XSS 的攻击方式为攻击者请求一个带有 payload 的 URL服务器的响应不会以任何形式包含攻击者的脚本。XSS 漏洞的修复方式有以下 2 种
过滤输入的字符例如 “ ”“ ”“”“” 等非法字符对输出到页面的数据进行编码。
XSS(Stored)
XSS存储型攻击攻击者事先将恶意代码上传或储存到漏洞服务器中只要受害者浏览包含此恶意代码的页面就会执行恶意代码。这就意味着只要访问了这个页面的访客都有可能会执行这段恶意脚本因此储存型XSS的危害会更大。因为存储型XSS的代码存在于网页的代码中可以说是永久型的。 存储型 XSS 一般出现在网站留言、评论、博客日志等交互处恶意脚本存储到客户端或者服务端的数据库中。 Low Level
在将请求的输入包含在输出文本中之前Low level 将不检查输入的任何的请求。
源码审计
源码如下trim(string,charlist) 函数用于移除字符串两侧的空白字符或其他预定义字符charlist 参数可以规定从字符串中删除哪些字符。stripslashes() 函数用于删除反斜杠可用于清理从数据库中或者从 HTML 表单中取回的数据。mysqli_real_escape_string() 函数用于对字符串中的特殊字符进行转义使得这个字符串是一个合法的 SQL 语句。GLOBALS 是引用全局作用域中可用的全部变量是一个包含了全部变量的全局组合数组。 源码的用意是输入一个名字和一段文本然后网页把输入的信息加入到数据库中同时服务器也会将服务器的内容回显到网页上。
?phpif(isset($_POST[btnSign])){// Get input$message trim($_POST[mtxMessage]);$name trim($_POST[txtName]);// Sanitize message input$message stripslashes($message);$message ((isset($GLOBALS[___mysqli_ston]) is_object($GLOBALS[___mysqli_ston])) ? mysqli_real_escape_string($GLOBALS[___mysqli_ston], $message ) : ((trigger_error([MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work., E_USER_ERROR)) ? : ));// Sanitize name input$name ((isset($GLOBALS[___mysqli_ston]) is_object($GLOBALS[___mysqli_ston])) ? mysqli_real_escape_string($GLOBALS[___mysqli_ston], $name ) : ((trigger_error([MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work., E_USER_ERROR)) ? : ));// Update database$query INSERT INTO guestbook ( comment, name ) VALUES ( $message, $name );;$result mysqli_query($GLOBALS[___mysqli_ston], $query ) or die( pre . ((is_object($GLOBALS[___mysqli_ston])) ? mysqli_error($GLOBALS[___mysqli_ston]) : (($___mysqli_res mysqli_connect_error()) ? $___mysqli_res : false)) . /pre );//mysql_close();
}?例如我们随便输入一个名字和一个文本点击提交网页会把这些内容加入数据库并回显。 打开数据库查看这些文本的确被加入了数据库。 源码对我们输入的 message 和 name 并没有进行 XSS 过滤直接将数据存储在数据库中存在存储型 XSS 漏洞。
攻击方式
直接在 Message 注入 payload服务器成功弹出页面。这种攻击是永久性的每次切换到这个页面都会弹出除非开发者删除数据库内容。
scriptalert(xss)/script查看网页源码我们注入的 JS 脚本已经被插入了。 Medium Level
开发人员已经添加了一些保护但是并不是每个区域都有这样的防护。
源码审计
源码如下addslashes() 函数在每个双引号前添加反斜杠返回在预定义字符之前添加反斜杠的字符串。strip_tags() 函数用于剥去字符串中的 HTML、XML 以及 PHP 的标签htmlspecialchars() 函数用于把预定义的字符 和 转换为 HTML 实体。 可以看到 Message 参数对所有的 XSS 都进行了过滤但是 name 参数只是过滤了 script 标签而已我们可以对 name 参数进行注入。
?phpif(isset($_POST[btnSign])){// Get input$message trim($_POST[mtxMessage]);$name trim($_POST[txtName]);// Sanitize message input$message strip_tags(addslashes($message));$message ((isset($GLOBALS[___mysqli_ston]) is_object($GLOBALS[___mysqli_ston])) ? mysqli_real_escape_string($GLOBALS[___mysqli_ston], $message ) : ((trigger_error([MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work., E_USER_ERROR)) ? : ));$message htmlspecialchars( $message );// Sanitize name input$name str_replace(script, , $name);$name ((isset($GLOBALS[___mysqli_ston]) is_object($GLOBALS[___mysqli_ston])) ? mysqli_real_escape_string($GLOBALS[___mysqli_ston], $name ) : ((trigger_error([MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work., E_USER_ERROR)) ? : ));// Update database$query INSERT INTO guestbook ( comment, name ) VALUES ( $message, $name );;$result mysqli_query($GLOBALS[___mysqli_ston], $query ) or die( pre . ((is_object($GLOBALS[___mysqli_ston])) ? mysqli_error($GLOBALS[___mysqli_ston]) : (($___mysqli_res mysqli_connect_error()) ? $___mysqli_res : false)) . /pre );//mysql_close();
}? 攻击方式
由于 name 参数有输入限制因此我们需要抓包改参数注入的 JS 脚本可以用大小写绕过。
SCRIPTalert(xss)/SCRIPT 注入 payload 后服务器成功弹出页面。 High Level
The developer believe they have disabled all script usage by removing the pattern script. 开发人员相信他们通过模式匹配 “script”禁用了所有脚本的使用。
源码审计
源码如下preg_replace() 函数执行一个正则表达式的搜索和替换“*” 代表一个或多个任意字符“i” 代表不区分大小写。也就是说 name 参数 “ script ” 标签在这里被完全过滤了但是我们可以通过其他的标签例如 img、body 等标签的事件或者iframe 等标签的 src 注入 JS 攻击脚本。
?phpif(isset($_POST[btnSign])){// Get input$message trim($_POST[mtxMessage]);$name trim($_POST[txtName]);// Sanitize message input$message strip_tags(addslashes($message));$message ((isset($GLOBALS[___mysqli_ston]) is_object($GLOBALS[___mysqli_ston])) ? mysqli_real_escape_string($GLOBALS[___mysqli_ston], $message ) : ((trigger_error([MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work., E_USER_ERROR)) ? : ));$message htmlspecialchars($message);// Sanitize name input$name preg_replace( /(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i, , $name );$name ((isset($GLOBALS[___mysqli_ston]) is_object($GLOBALS[___mysqli_ston])) ? mysqli_real_escape_string($GLOBALS[___mysqli_ston], $name ) : ((trigger_error([MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work., E_USER_ERROR)) ? : ));// Update database$query INSERT INTO guestbook (comment, name) VALUES ($message, $name);;$result mysqli_query($GLOBALS[___mysqli_ston], $query) or die(pre . ((is_object($GLOBALS[___mysqli_ston])) ? mysqli_error($GLOBALS[___mysqli_ston]) : (($___mysqli_res mysqli_connect_error()) ? $___mysqli_res : false)) . /pre);//mysql_close();
}? 攻击方式
HTML 的 img 标签定义 HTML 页面中的图像该标签支持 onerror 事件在装载文档或图像的过程中如果发生了错误就会触发。使用这些内容构造出 payload 如下因为我们没有图片可供载入因此会出错从而触发 onerror 事件。
img src 1 onerror alert(xss)仍然是抓包之后改参数放包后成功弹出页面。 Impossible Level
使用内置的PHP函数例如 “htmlspecialchars()”可以转义任何会改变输入行为的值。
?phpif(isset($_POST[btnSign])){// Check Anti-CSRF tokencheckToken($_REQUEST[user_token], $_SESSION[session_token], index.php);// Get input$message trim($_POST[mtxMessage]);$name trim($_POST[txtName]);// Sanitize message input$message stripslashes($message);$message ((isset($GLOBALS[___mysqli_ston]) is_object($GLOBALS[___mysqli_ston])) ? mysqli_real_escape_string($GLOBALS[___mysqli_ston], $message ) : ((trigger_error([MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work., E_USER_ERROR)) ? : ));$message htmlspecialchars( $message );// Sanitize name input$name stripslashes($name);$name ((isset($GLOBALS[___mysqli_ston]) is_object($GLOBALS[___mysqli_ston])) ? mysqli_real_escape_string($GLOBALS[___mysqli_ston], $name ) : ((trigger_error([MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work., E_USER_ERROR)) ? : ));$name htmlspecialchars($name);// Update database$data $db-prepare(INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name ););$data-bindParam(:message, $message, PDO::PARAM_STR);$data-bindParam(:name, $name, PDO::PARAM_STR);$data-execute();
}// Generate Anti-CSRF token
generateSessionToken();? 源码在 high 级别的基础上对 name 参数也进行了更严格的过滤导致 name 参数也无法进行 JS 脚本注入。同时加入 Anti-CSRF token 防护 CSRF 攻击进一步提高安全性。
总结与防御
跨站脚本 (Cross-Site Scripting) 是一种针对 Web 程序的代码注入型漏洞攻击它允许攻击者将恶意脚本注入网页使得其他用户浏览网页时收到影响。所谓存储型 XSS 又称为持久型 XSS攻击脚本会被永久保存在目标服务器的数据库或文件中具有更高的隐蔽性。 存储型 XSS 的攻击常见于论坛、博客或留言等需要提交文本的页面攻击者将攻击脚本和文本一起注入。当文本被服务器存储下来时恶意脚本也会被永久存放与服务器的数据库或文件中。当其他用户访问这个含有恶意脚本的页面时恶意脚本会在用户的浏览器中执行。XSS 漏洞的修复方式有以下 2 种
过滤输入的字符例如 “ ”“ ”“”“” 等非法字符对输出到页面的数据进行编码。
