跨站攻擊

漏洞描述：

跨站腳本攻擊（Cross-site scripting，簡(jiǎn)稱XSS攻擊），通常發(fā)生在客戶端，可被用于進(jìn)行隱私竊取、釣魚欺騙、密碼偷取、惡意代碼傳播等攻擊行為。XSS攻擊使用到的技術(shù)主要為HTML和Javascript腳本，也包括VBScript和ActionScript腳本等。

惡意攻擊者將對(duì)客戶端有危害的代碼放到服務(wù)器上作為一個(gè)網(wǎng)頁(yè)內(nèi)容，用戶不經(jīng)意打開此網(wǎng)頁(yè)時(shí)，這些惡意代碼會(huì)注入到用戶的瀏覽器中并執(zhí)行，從而使用戶受到攻擊。一般而言，利用跨站腳本攻擊，攻擊者可竊取會(huì)話cookie，從而獲得用戶的隱私信息，甚至包括密碼等敏感信息。

漏洞危害：

XSS攻擊對(duì)Web服務(wù)器本身雖無直接危害，但是它借助網(wǎng)站進(jìn)行傳播，對(duì)網(wǎng)站用戶進(jìn)行攻擊，竊取網(wǎng)站用戶賬號(hào)信息等，從而也會(huì)對(duì)網(wǎng)站產(chǎn)生較嚴(yán)重的危害。XSS攻擊可導(dǎo)致以下危害：

釣魚欺騙：最典型的就是利用目標(biāo)網(wǎng)站的反射型跨站腳本漏洞將目標(biāo)網(wǎng)站重定向到釣魚網(wǎng)站，或者通過注入釣魚JavaScript腳本以監(jiān)控目標(biāo)網(wǎng)站的表單輸入，甚至攻擊者基于DHTML技術(shù)發(fā)起更高級(jí)的釣魚攻擊。

網(wǎng)站掛馬：跨站時(shí)，攻擊者利用Iframe標(biāo)簽嵌入隱藏的惡意網(wǎng)站，將被攻擊者定向到惡意網(wǎng)站上、或彈出惡意網(wǎng)站窗口等方式，進(jìn)行掛馬攻擊。

身份盜用：Cookie是用戶對(duì)于特定網(wǎng)站的身份驗(yàn)證標(biāo)志，XSS攻擊可以盜取用戶的cookie，從而利用該cookie盜取用戶對(duì)該網(wǎng)站的操作權(quán)限。如果一個(gè)網(wǎng)站管理員用戶的cookie被竊取，將會(huì)對(duì)網(wǎng)站引發(fā)巨大的危害。

盜取網(wǎng)站用戶信息：當(dāng)竊取到用戶cookie從而獲取到用戶身份時(shí)，攻擊者可以盜取到用戶對(duì)網(wǎng)站的操作權(quán)限，從而查看用戶隱私信息。

垃圾信息發(fā)送：在社交網(wǎng)站社區(qū)中，利用XSS漏洞借用被攻擊者的身份發(fā)送大量的垃圾信息給特定的目標(biāo)群。

劫持用戶Web行為：一些高級(jí)的XSS攻擊甚至可以劫持用戶的Web行為，從而監(jiān)視用戶的瀏覽歷史、發(fā)送與接收的數(shù)據(jù)等等。

XSS蠕蟲：借助XSS蠕蟲病毒還可以用來打廣告、刷流量、掛馬、惡作劇、破壞網(wǎng)上數(shù)據(jù)、實(shí)施DDoS攻擊等。

修復(fù)方案：

方案一

目前，云盾的“DDoS高防IP服務(wù)”以及“Web應(yīng)用防火墻”均提供對(duì)Web應(yīng)用攻擊的安全防護(hù)能力。選擇以上服務(wù)開通Web應(yīng)用攻擊防護(hù)，可以保障您的服務(wù)器安全。

方案二

將用戶所提供的內(nèi)容輸入輸出進(jìn)行過濾?？梢赃\(yùn)用下面這些函數(shù)對(duì)出現(xiàn)XSS漏洞的參數(shù)進(jìn)行過濾：

PHP的htmlentities()或是htmlspecialchars()

Python的cgi.escape()

ASP的Server.HTMLEncode()

ASP.NET的Server.HtmlEncode()或功能更強(qiáng)的Microsoft Anti-Cross Site Scripting Library

Java的xssprotect(Open Source Library)

Node.js的node-validator

方案三

使用開源的漏洞修復(fù)插件。（需要系統(tǒng)管理員懂得編程并且能夠修改服務(wù)器代碼。）

點(diǎn)擊下方圖片可購(gòu)買阿里云云安全acp認(rèn)證網(wǎng)絡(luò)課程，個(gè)性化服務(wù)，為你的升職加薪之路助力?。?！