了解黑客如何启动跨站点脚本攻击(cross-site scripting,XSS),该攻击危害(及不危害)什么,如何检测它们,以及如何防止您的 Web 站点和站点的访问者受到这些针对隐私和安全的恶意入侵。
跨站脚本攻击(cross-site scripting,简称 XSS),是黑客用来潜入 Web 应用程序的最普遍的应用程序层攻击之一。XSS 是针对特殊 Web 站点的客户隐私的攻击,当客户详细信息失窃或受控时可能引发彻底的安全威胁。大部分网站攻击只涉及两个群体:黑客和 Web 站点,或者黑客和客户端受害者。与那些攻击不同的是,XSS 攻击同时涉及三个群体:黑客、客户端和 Web 站点。
XSS 攻击的目的是盗走客户端 cookies,或者任何可以用于在 Web 站点确定客户身份的其他敏感信息。手边有了合法用户的标记,黑客可以继续扮演用户与站点交互,从而冒充用户。举例来说,在对一个大型公司的调查中表明,利用 XSS 攻击窥视用户的信用卡号码和私有信息是可能的。这是通过利用 Web 站点的访问特权,在受害者(客户端)浏览器上运行恶意的 JavaScript 代码来实现的。这些是非常有限的 JavaScript 特权,除了与站点相关的信息,一般不允许脚本访问其他任何内容。重点强调的是,虽然 Web 站点上存在安全漏洞,但是 Web 站点从未受到直接伤害。但是这已经足够让脚本收集 cookies,并且将它们发送给黑客。因此,黑客获得 cookies 并冒充受害者。
让我们调用受攻击的站点:www.vulnerable.site。传统的 XSS 攻击的核心处位于脆弱的站点中的脆弱的脚本。这些脚本读取部分
HTTP 请求(通常是参数,但有时也有 HTTP 头域或路径),并且在首次不加密的情况下全部或部分地将其回送给响应页面(因而,不确保它不包含
JavaScript 代码或 HTML 标签)。因此,假设该脚本名为 welcome.cgi,其参数为
name
。可以通过以下方式进行操作:
GET /welcome.cgi?name=Joe%20Hacker HTTP/1.0 |
响应是:
<HTML> |
这是怎样被盗用的呢?黑客设法引诱受害客户点击他们提供给用户的链接。这是一个精心设计且蓄含恶意的链接,诱使受害者的 Web 浏览器访问站点(www.vulnerable.site),并调用入侵脚本。该脚本的数据里包含了用于非法访问客户端浏览器为 www.vulnerable.site 站点所存储 cookies 的 JavaScript。这是允许的,因为客户端浏览器“运行过”来自 www.vulnerable.site 的 JavaScript,并且 JavaScript 安全模型允许来自特殊站点的脚本访问属于该站点的 cookies。
这样的链接如下:
http://www.vulnerable.site/welcome.cgi?name=<script>alert(document.cookie)</script> |
受害者点击链接之后将生成对 www.vulnerable.site 的请求,如下所示:
GET /welcome.cgi?name=<script>alert(document.cookie)</script> HTTP/1.0 |
脆弱的站点的响应是:
<HTML> <Title>Welcome!</Title> Hi <script>alert(document.cookie)</script> |
受害者客户端的浏览器将把该响应解释为包含一段 JavaScript 代码的 HTML 页面。当执行时,该代码被允许访问所有属于 www.vulnerable.site 的 cookies。因此,它将在客户端浏览器中弹出一个窗口,显示属于 www.vulnerable.site 的所有客户端 cookies。
文章来源于领测软件测试网 https://www.ltesting.net/