今天在漏洞盒子找漏洞的時發(fā)現(xiàn)一個理財(cái)網(wǎng)站具體的就不透露了就試了試 結(jié)果發(fā)現(xiàn)竟然存在一個存儲性xss于是決定搞一搞。其實(shí)xss在互聯(lián)網(wǎng)當(dāng)中是非常常見的，接下來我就給大家介紹下xss漏洞的原理以及實(shí)戰(zhàn)。
什么是XSS漏洞
XSS攻擊：跨站腳本攻擊(Cross Site Scripting)，為不和層疊樣式表(Cascading Style Sheets, css)的縮寫混淆。故將跨站腳本攻擊縮寫為XSS。XSS是一種經(jīng)常出現(xiàn)在web應(yīng)用中的計(jì)算機(jī)安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。比如這些代碼包括html代碼和客戶端腳本。攻擊者利用XSS漏洞旁路掉訪問控制——例如同源策略(same origin policy)。這種類型的漏洞由于被駭客用來編寫危害性更大的phishing攻擊而變得廣為人知。對于跨站腳本攻擊，黑客界共識是：跨站腳本攻擊是新型的“緩沖區(qū)溢出攻擊“，而JAVAScript是新型的“ShellCode”。
XSS攻擊的危害包括
- 盜取各類用戶帳號權(quán)限(控制所盜竊權(quán)限數(shù)據(jù)內(nèi)容)，如機(jī)器登錄帳號、用戶網(wǎng)銀帳號、各類管理員帳號
- 控制企業(yè)數(shù)據(jù)，包括讀取、篡改、添加、刪除企業(yè)敏感數(shù)據(jù)的能力
- 基于XSS的跨站業(yè)務(wù)請求(如：非法轉(zhuǎn)賬、非法下單、非法轉(zhuǎn)載/發(fā)表內(nèi)容、發(fā)送電子郵件、利用管理員身份提權(quán)掛馬、控制受害者機(jī)器向其它網(wǎng)站發(fā)起攻擊等)
- 形成持久化APT攻擊，長期控制網(wǎng)站業(yè)務(wù)中樞
- 利用跨站業(yè)務(wù)形成蠕蟲病毒式傳播
- 劫持網(wǎng)站，劫持后可用于釣魚、偽裝、跳轉(zhuǎn)、掛廣告等，屬掛馬類型
XSS跨站腳本，是一種Web安全漏洞，有趣是是他并不像SQL注入等攻擊手段攻擊服務(wù)端，本身對Web服務(wù)器沒有危害，攻擊的對象是客戶端，使用瀏覽器訪問這些惡意地址的網(wǎng)民。
實(shí)戰(zhàn)環(huán)節(jié)
打開頁面點(diǎn)擊登陸
登陸完成后點(diǎn)擊設(shè)置
點(diǎn)擊后如下：
在理財(cái)目標(biāo)出添加：" onfocus=alert`1` autofocus="true 創(chuàng)建一個聚焦事件
保存后鼠標(biāo)放到理財(cái)目標(biāo)出就會觸發(fā)。
XSS防御
我們是在一個矛盾的世界中，有矛就有盾。只要我們的代碼中不存在漏洞，攻擊者就無從下手，我們要做一個沒有縫的蛋。XSS防御有如下方式。
完善的過濾體系
永遠(yuǎn)不相信用戶的輸入。需要對用戶的輸入進(jìn)行處理，只允許輸入合法的值，其它值一概過濾掉。
Html encode
假如某些情況下，我們不能對用戶數(shù)據(jù)進(jìn)行嚴(yán)格的過濾，那我們也需要對標(biāo)簽進(jìn)行轉(zhuǎn)換。
基于以上的講解，你明白了Xss了嗎？如還有問題請?jiān)谠u論區(qū)留言~
