代码审计——XSS详解-Toy模板网

这篇具有很好参考价值的文章主要介绍了代码审计——XSS详解。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

01 漏洞描述

跨站脚本攻击（Cross Site Script）是一种将恶意JavaScript代码插入到其他Web用户页面里执行以达到攻击目的的漏洞。

代码审计——XSS详解

攻击者利用应用程序的动态展示数据功能，在html页面里嵌入恶意代码。当用户浏览该页之时，这些嵌入在html中的恶意代码会被执行，用户浏览器被攻击者控制，从而达到攻击者的特殊目的。

跨站脚本攻击有以下攻击形式：

1、反射型跨站脚本攻击

攻击者利用社会工程学等手段，发送一个URL链接给用户打开，在用户打开页面的同时，浏览器会执行页面中嵌入的恶意脚本。

2、存储型跨站脚本攻击

攻击者利用应用程序提供的录入或修改数据的功能，将数据存储到服务器或用户cookie中，当其他用户浏览展示该数据的页面时，浏览器会执行页面中嵌入的恶意脚本，所有浏览者都会受到攻击。

3、DOM跨站脚本攻击

由于HTML页面中，定义了一段JS，根据用户的输入，显示一段HTML代码，攻击者可以在输入时，插入一段恶意脚本，最终展示时，会执行恶意脚本。

DOM跨站脚本攻击和以上两个跨站脚本攻击的区别是，DOM跨站是纯页面脚本的输出，只有规范使用JavaScript，才可以防御。

02 审计要点

XSS漏洞发生的根本原因是"用户可控的"、”未经净化“的数据直接在HTML页面上展示。

“用户可控数据”可能来源于http请求、数据库、Http Header或cookie等，当明确用户可控数据，可以输出至前端页面时，判断代码中是否存在以下防护逻辑，若均不符合，则存在问题的风险递增。

1、前端是否有XSS防护框架，如Angularjs、Recat、vue.js等，一般这种防护框架在项目设计初期就要考虑到了，不然上线后再进行改动，耗时耗力，不切合实际情况。

2、用户输入数据时是否存在全局参数过滤器？过滤规则是否符合要求？是否存在需过滤和不需过滤两种输出，页面是否控制恰当？

3、输出内容在前端时是否进行恰当的编码（HTML、JS等）？

03 漏洞特征

一、缺陷代码示例（反射型XSS）

Java

<%out.print(request.getParameter("param")); %>

在上面的代码中，直接将从请求参数中获取到的param参数值在页面中输出，可导致反射型XSS漏洞。

PHP

  if($_ GET ["openid"]) echo $_ GET ["oauth_ signature"] ;

在上面的代码中，参数入口为用户提交的http get型请求数据，为用户可控，且经过echo输出函数在页面中输出，导致反射型XSS。

.Net

Default.aspx.cs：
public partial class _Default : System.Web.UI.Page
{
    public string commonXSS;
    protected void Page_Load(object sender, EventArgs e)
    {
        string commonXSS = Request.QueryString["UserInputData"];
        //假设用户输入：UserInputData="<script>alert(123)</script>";
        
    }
}

Default.aspx：
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title></title>
</head>
<body>
    <form id="form1" runat="server">
    <div>
    <%:commonXSS %>
    <input type="text" value="Default" />
    </div>
    </form>
</body>
</html>

以上代码中，假设用户输入：UserInputData=“”;，由于代码层面无任何过滤或防护措施，UserInputData参数值在页面中输出，导致反射型XSS。

二、缺陷代码示例（存储型XSS）

Java

while(rs.next()){
%>
<tr>
<td><%=rs.getInt("id") %></td>
<td><%=rs.getString("pname")%></td>
<td><%=rs.getString("pdesc")%></td>
<td><%=rs.getString("ptype")%></td>
</tr>
<%
}