网络空间安全（53）XSS

news2025/7/14 15:58:44

一、定义与原理

XSS（Cross Site Scripting），全称为跨站脚本攻击，是一种网站应用中的安全漏洞攻击。其原理是攻击者利用网站对用户输入内容校验不严格等漏洞，将恶意脚本（通常是JavaScript，也可以是Java、VBScript、ActiveX、Flash等）注入到目标网站中。当用户访问该存在漏洞的网站页面时，嵌入其中的恶意脚本代码就会在用户的浏览器环境里被执行，进而达到攻击者恶意攻击用户的目的。

二、攻击类型

存储型XSS（Stored XSS）：

也被称为持久型跨站脚本攻击，是危害较为严重的一种类型。
攻击者将恶意脚本存储到目标服务器上，如数据库、文件系统或应用缓存中。
当其他用户访问包含这些恶意脚本的页面时，脚本就会被执行，危及所有访问该页面的用户。
示例：在一些允许用户发表内容的平台（如论坛、博客、留言板等）上，如果存在漏洞且未严格校验用户输入内容，攻击者就可利用发帖、评论等功能提交恶意脚本代码到Web服务器进行保存。

反射型XSS（Reflected XSS）：

属于非持久化的攻击类型，通常需要欺骗用户自己去点击链接才能触发XSS代码（服务器中不会存储这样的页面和内容）。
恶意脚本作为网络请求的一部分出现在URL（统一资源定位符）当中，随后服务器会将这部分包含恶意脚本的内容“反射”回浏览器，进而在浏览器中被执行。
示例：攻击者会精心构造一个包含恶意代码的URL，然后诱骗用户去点击这个链接。

DOM型XSS（DOM-based XSS）：

是一种基于文档对象模型（Document Object Model，DOM）的漏洞而产生的攻击形式。
它不经过后端，是客户端脚本处理逻辑导致的安全问题。
攻击者利用客户端脚本（如JavaScript）在受害者的浏览器中直接操作DOM，从而注入恶意脚本。
整个攻击过程均在用户侧浏览器执行，无需Web服务器端进行解析和响应访问请求，所以相对来说较难排查。
示例：网页中有这样的JavaScript代码：var name = document.location.hash.substr(1); document.write("欢迎, "+ name);，当用户访问特定构造的URL时，恶意脚本就可能会被执行。

三、攻击危害

1.盗取用户的各类账号（如机器登陆账号、用户网银账号、各类管理员账号等）。

2.控制企业数据（包括读取、篡改、添加、删除企业敏感数据）。

3.盗取企业重要的具有商业价值的资料。

4.非法转账、强制发送电子邮件。

5.网站挂马，甚至控制受害者机器向其他网站发起攻击等。

四、防范措施

输入验证和过滤：

对所有来自用户的输入进行严格过滤，确保恶意代码无法注入到页面中。
使用白名单策略，只允许特定格式的输入，如允许数字、字母和常规符号。
禁止HTML标签和JavaScript代码，对输入中的HTML标签和JavaScript代码进行转义或删除。
使用正则表达式检查输入内容，过滤潜在的恶意字符或代码。

输出转义：

当用户的输入或其他动态内容需要插入到HTML页面中时，确保对内容进行HTML转义。
通过转义可以将用户输入的特殊字符（如<、>、&、"等）转换为其HTML实体（如<、>、&、"等），从而避免这些字符被当作HTML或JavaScript代码执行。

内容安全策略（CSP）：

配置CSP，控制浏览器允许加载和执行的资源，从而减少恶意脚本的执行风险。
CSP可以限制哪些来源的脚本是安全的，禁止执行内联脚本，或者仅允许通过特定的域加载外部脚本。

避免使用不安全的API：

一些Web应用使用JavaScript API时可能容易受到XSS攻击，特别是innerHTML、document.write()等，这些API会直接插入HTML内容，容易导致恶意脚本执行。
开发者应尽量避免使用这些API，改用更安全的DOM操作方法，如textContent和createElement。

强化身份验证和授权机制：使用双重身份验证（2FA）、会话加密（如HTTPS）、以及定期刷新会话ID等措施，减少攻击者通过XSS漏洞进行进一步攻击的风险。

定期安全扫描与修复：

使用专业的漏洞扫描工具，定期检测和修复潜在的XSS漏洞。
关注最新的安全动态，了解XSS攻击的最新手段和防范策略，确保网站始终处于安全状态。