跨站脚本

✍ dations ◷ 2025-09-18 15:35:48 #网络安全,注入漏洞,Web安全漏洞

跨站脚本(英语:Cross-site scripting,通常简称为:XSS)是一种网站应用程序的安全漏洞攻击,是代码注入的一种。它允许恶意用户将代码注入到网页上,其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。

XSS攻击通常指的是通过利用网页开发时留下的漏洞,通过巧妙的方法注入恶意指令代码到网页,使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript,但实际上也可以包括Java,VBScript,ActiveX,Flash或者甚至是普通的HTML。攻击成功后,攻击者可能得到更高的权限(如执行一些操作)、私密网页内容、会话和cookie等各种内容。

当网景(Netscape)最初推出JavaScript语言时,他们也察觉到准许网页服务器发送可执行的代码给一个浏览器的安全风险(即使仅是在一个浏览器的沙盒里)。它所造成的一个关键的问题在于用户同时开启多个浏览器视窗时,在某些例子里,网页里的片断代码被允许从另一个网页或对象取出资料,而因为恶意的网站可以用这个方法来尝试窃取机密信息,所以在某些情形,这应是完全被禁止的。为了解决这个问题,浏览器采用了同源决策——仅允许来自相同域名系统和使用相同协议的对象与网页之间的任何交互。这样一来,恶意的网站便无法借由JavaScript在另一个浏览器窃取机密资料。此后,为了保护用户免受恶意的危害,其他的浏览器与服务端指令语言采用了类似的访问控制决策。

XSS漏洞可以追溯到1990年代。大量的网站曾遭受XSS漏洞攻击或被发现此类漏洞,如Twitter,Facebook,MySpace,Orkut,新浪微博和百度贴吧。研究表明,最近几年XSS已经超过缓冲区溢出成为最流行的攻击方式,有68%的网站可能遭受此类攻击。根据开放网页应用安全计划(Open Web Application Security Project)公布的2010年统计数据,在Web安全威胁前10位中,XSS排名第2,仅次于代码注入(Injection)。

Cross-site scripting的英文首字母缩写本应为CSS,但因为CSS在网页设计领域已经被广泛指层叠样式表(Cascading Style Sheets),所以将Cross(意为“交叉”)改以交叉形的X做为缩写。但早期的文件还是会使用CSS表示Cross-site scripting。

通常有一些方式可以测试网站是否有正确处理特殊字符:

攻击者使被攻击者在浏览器中执行脚本后,如果需要收集来自被攻击者的数据(如cookie或其他敏感信息),可以自行架设一个网站,让被攻击者通过JavaScript等方式把收集好的数据作为参数提交,随后以数据库等形式记录在攻击者自己的服务器上。

常用的XSS攻击手段和目的有:

避免XSS的方法之一主要是将用户所提供的内容进行过滤,许多语言都有提供对HTML的过滤:

很多时候可以使用HTTP头指定内容的类型,使得输出的内容避免被作为HTML解析。如在PHP语言中使用以下代码:

<?php   header('Content-Type: text/javascript; charset=utf-8');?>

即可强行指定输出内容为文本/JavaScript脚本(顺便指定了内容编码),而非可以引发攻击的HTML。

包括Internet Explorer、Mozilla Firefox在内的大多数浏览器皆有关闭JavaScript的选项,但关闭功能并非是最好的方法,因为许多网站都需要使用JavaScript语言才能正常运作。通常来说,一个经常有安全更新推出的浏览器,在使用上会比很久都没有更新的浏览器更为安全。

相关

  • 墨洛温王朝图尔奈(457-508)阿里乌派(496年以前) 正统基督教(496-751)墨洛温王朝(法语:Mérovingiens,又译梅罗文王朝或梅罗文加王朝)是一个法兰克人王朝和中世纪法兰克王国的第一个王朝。希尔德
  • 氰化物中毒氰化物中毒(英语:Cyanide poisoning)是接触多种形式的氰化物而中毒。早期症状为头痛、头晕、心率快、呼吸困难和呕吐等。之后可能会癫痫发作、心跳过缓、低血压、意识丧失和心
  • 醇类醇是有机化合物的一大类,是脂肪烃、脂环烃或芳香烃侧链中的氢原子被羟基取代而成的化合物。在化学中,任何有机化合物,其羟基官能团(-OH)被绑定到一个饱和碳原子,就叫醇。通常意义
  • 夹竹桃科夹竹桃科是真双子叶植物龙胆目的一个科,其模式属为罗布麻属(Apocynum)。有乔木、灌木、草本、藤本植物,大约有402属5031种,主要产于热带和亚热带地区,许多种类是原生于热带雨林的
  • 劳伦斯伯克利国家实验室劳伦斯伯克利国家实验室(Lawrence Berkeley National Laboratory,简称伯克利国家实验室)是一个隶属于美国能源部的国家实验室,从事非绝密级的科学性研究。它坐落在加州大学伯克
  • 御雇外国人御雇外国人,或称外籍讲师,是指日本在幕末至明治时代时为了赶上西方国家脚步,而大量公聘的外国籍顾问,其受雇后协助日本发展经济、工业、制度等学问(殖产兴业)。明治维新的成功,御雇
  • 奥托·海因里希·瓦尔堡奥托·海因里希·瓦尔堡(德语:Otto Heinrich Warburg,1883年10月8日-1970年8月1日),德国生理学家和医生。1931年因“发现呼吸酶的性质及作用方式”被授予诺贝尔生理学或医学奖。在
  • 森雅子森雅子(日语:森 まさこ/もり まさこ  ?,1964年8月22日-),日本女性政治家,自由民主党党员。出身于福岛县磐城市,本名三好雅子(みよし まさこ)。2007年参议院选举首次当选参议院议员。
  • 五更肠旺五更肠旺是一道台式川菜,在台湾的热炒店、川菜店都可见。五更肠旺常见于台湾川菜馆跟海外中餐厅,也被不少台湾人认为是川菜,但中国大陆四川是找不到这道菜的,其实这是台湾发明的
  • 薇薇安娜·索夫罗尼茨基薇薇安娜·索夫罗尼茨基(Viviana Sofronitsky),俄罗斯籍加拿大钢琴家,出生于莫斯科著名钢琴家佛拉迪米尔·索夫罗尼茨基的家庭中。最初在中央音乐学校学习音乐,而后获得莫斯科音