跨站脚本攻击（xss）

xss简介

        跨站脚本攻击（Cross-Site Scripting）是一种常见的网络安全漏洞，可能有人觉得奇怪，xss的简写不应该属css吗。因为层叠样式脚本叫做CSS(Cascading Style Sheets) ，所以跨站脚本攻击就更名为XSS。

        XSS是指恶意攻击者利用网站对用户提交的数据过滤不足的缺点，注入恶意脚本代码，然后在用户的浏览器中执行这些代码。这种攻击通常发生在基于Web的应用程序中，如社交媒体站点、在线银行、电子邮件服务等等。

html页面共有3种语言

1.HTML 网页框架结构

2.CSS 颜色字体等

3.JavaScript 操纵浏览器、网页内容

简单弹窗：

<script>alert(/xss/)</script>        警示框

<script>confirm(/xss/)</script>        确认框（类似于布尔）
<script>confirm('xss')</script>
     
<script>prompt('xss')</script>        对话框，可以输入内容

漏洞的分类

xss分为：反射型xss，存储型xss，DOM型xss

反射型xss

非持久性，参数型的跨站脚本攻击，反射型的代码在web应用的参数中。攻击者将恶意脚本代码包含在URL中，然后诱使用户点击包含恶意代码的链接。当用户点击链接并访问特定的页面时，恶意脚本会在用户的浏览器上执行。例如搜索框（使用最多，但是容易被发现）

存储型xss

持久型跨站脚本攻击，攻击者将恶意脚本代码存储在目标网站的数据库中，然后其他用户在访问包含该恶意脚本的页面时，会触发脚本执行。这种类型的XSS攻击通常用于在网站上发布恶意评论、文章或消息等。（危害广）

DOM型xss

是一种xss攻击，这种类型的XSS攻击涉及到修改页面的DOM（文档对象模型），使得恶意脚本代码可以在客户端执行，但是参数不会提交到服务器攻击通常发生在浏览器解析URL参数或用户输入时，攻击者能够注入恶意代码并导致页面行为异常。（难以检测）

xss构造、变形、防御

xss构造

1.利用<>

<script>alert(/zhaokai/)</script>

2.JavaScript伪协议

a标签，img标签

<a href = javascript:alert(/zk/)> click me </a>
​
<img src ="javascript:alert(/xss/)">    (适用于ie6)

3.事件响应

<img src="图片地址" onmouseover = 'alert(/touch me!/)'>    鼠标放到图片上弹窗
​
<input type ='text' onkeydown = 'alert(/zk/)'>                  输入框按键盘下键弹窗
<input type ='text' onkeyup = 'alert(/zk/)'>                    输入框按键盘上键弹窗

1.windows事件（应用于body）

2.form事件（表单触发事件）

3.keyboard事件（键盘）

4.mouse事件 （鼠标）

5.media事件（多媒体）

xss变形

1.大小写转换

浏览器对HTML标签大小写不敏感

<sCriPt>alert(/zk/)</sCriPt>

2.关键字双写

绕过一次过滤

<scrscriptipt>alert(/zk/)</scrscriptipt>

3.伪协议转码

    HTML编码：就是将字母字符转换为ascii码，十进制编码:$#+十进制ascii码，十六进制编码:$#+十六进制ascii码

<a href = javascript:alert(/zk/)> click me </a>

&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74        可以将javascript转码绕过关键字过滤

4.插入其他字符

        将一下字符插入到任意位置

<a href ='j&#9;avasc&#10;r&#13;ipt:alert(/xss/)'>click me</a>

5.引号的使用

HTML语言大部分对于引号的使用要求不严格

<Img sRc=  #  OnErRoR= alert(/xss/);>
<Img sRc= '#' OnErRoR='alert(/xss/)'>
<Img sRc= "#" OnErRoR="alert(/xss/)">

6. / 代替空格

<Img/sRc='#'/OnErRoR-'alert(/xss/)'>

7.拆分跨站

将一段js代码拆分为多段

<script>z='alert'</script>
<script>z+='(/xss/)'</script>
<script>eval(z)</script>
<script>eval(alert(/xss/))</script>

xss防御

1.输入过滤

输入验证：对用户提交的信息进行“有效性”验证

        仅接受指定长度

        仅包含合法字符

        仅接收指定范围

        特殊格式：email，ip地址

    数据消毒：过滤危险输入

<?php
    
$keywords = $_GET['keywords'];
$keywords = strtolower($keywords);

$keywords = str_replace ("on", "Skeywords);
$keywords = str_replace ("<script>", ", $keywords);
$keywords = str_replace ("<","",$keywords);
$keywords = str replace(">","",$keywords);
echo $keywords;

?>

2.输出编码

HEML编码是HTML实体编码

$keywords = htmlspecialchars( $_GET['keywords'] );

3.黑白名单策略

不管是输入还是输出编码，都是针对用户提交的信息进行黑白名单式的过滤

        黑名单：非允许的内容

        白名单：允许的内容

4.防御DOM型xss

避免客户端文档重写，重定向或者其他敏感操作

超级测试代码

        可以用来测试过滤情况

<sCr<ScRiPt>IPT>OonN'"\/(hrHRefEF)</sCr</ScRiPt>IPT>