iis安全 |
您所在的位置:网站首页 › allowscriptaccess权限 › iis安全 |
iis安全---防范XSS跨站式脚本攻击 原文:www.iisutm.com 网站要怎么防范常见的XSS跨站式脚本攻击呢,我们先从XSS跨站式脚本攻击的原理来说起。
网站遭受XSS跨站式脚本攻击的基本原理
1.本地利用漏洞,这种漏洞存在于页面中客户端脚本自身。
其攻击过程如下所示: A给B发送一个恶意构造了Web的URL。 B点击并查看了这个URL。 恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在B电脑上。 具有漏洞的HTML页面包含了在B电脑本地域执行的JavaScript。 A的恶意脚本可以在B的电脑上执行B所持有的权限下的命令。
2反射式漏洞,这种漏洞和本地利用漏洞有些类似,不同的是Web客户端使用Server端脚本生成 页面为用户提供数据时,如果未经验证的用户数据被包含在页面中而未经HTML实体编码,客户 端代码便能够注入到动态页面中。
其攻击过程如下: A经常浏览某个网站,此网站为B所拥有。B的站点运行A使用用户名/密码进行登录,并存储敏 感信息(比如银行帐户信息)。 C发现B的站点包含反射性的XSS漏洞。 C编写一个利用漏洞的URL,并将其冒充为来自B的邮件发送给A。 A在登录到B的站点后,浏览C提供的URL。 嵌入到URL中的恶意脚本在A的浏览器中执行,就像它直接来自B的服务器一样。此脚本盗窃敏 感信息(授权、信用卡、帐号信息等)然后在A完全不知情的情况下将这些信息发送到C的Web 站点。
3存储式漏洞,该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞,骇客将攻 击脚本上传到Web服务器上,使得所有访问该页面的用户都面临信息泄漏的可能,其中也包括 了Web服务器的管理员。
其攻击过程如下: B拥有一个Web站点,该站点允许用户发布信息/浏览已发布的信息。 C注意到B的站点具有存储式的XXS漏洞。 C发布一个热点信息,吸引其它用户纷纷阅读。 B或者是任何的其他人如A浏览该信息,其会话cookies或者其它信息将被C盗走。 类型A直接威胁用户个体,而类型B和存储式漏洞所威胁的对象都是企业级Web应用。
网站遭受XSS跨站式脚本攻击的基本方式
1. DOM-based cross-site scripting 页面本身包含一些DOM对象的操作,如果未对输入的参数进行处理,可能会导致执行恶意脚本 。如下面一些DOM操作: document.URL document.URLUnencoded document.location (and many of its properties) document.referrer window.location (and many of its properties) 举个例子,假如某个脆弱的页面的代码如下: Welcome! Hi
var pos=document.URL.indexOf("name=")+5; document.write(document.URL.substring(pos,document.URL.length));
Welcome to our system … 攻击者使用如下的URL访问时,则非常危险: http://www.vulnerable.site/welcome.html?name=alert(document.cookie) 试了一下,貌似IE、FireFox等浏览器默认 对alert(document.cookie)进 行了编码,阻止了脚本的执行。但是对于 DOM操作还是要更加谨慎啊,比如把上面的页面修改 一下,安全性就增强了不少: var pos=document.URL.indexOf("name=")+5; var name=document.URL.substring(pos,document.URL.length); if (name.match(/^[a-zA-Z0-9]$/)) { document.write(name); } else { window.alert("Security error"); }
2. Reflected cross-site scripting 也被称为None-Persistent cross-site scripting,即,非持久化的XSS攻击,是我 们通常所说的,也是最常用,使用最广的一种方式。它通过给别人发送带有恶意脚本代码参数 的URL,当 URL地址被打开时,特有的恶意代码参数被HTML解析、执行。它的特点是非持久化 ,必须用户点击带有特定参数的链接菜能引起。 3. Persistent cross-site scripting 持久化XSS攻击,指的是恶意脚本代码被存储进被攻击的数据库,当其他用户正常浏 览网页时,站点从数据库中读取了非法用户存入非法数据,恶意脚本代码被执行。这种攻击类 型通常在留言板等地方出现。 实施方式 我们来试一把Reflected cross-site scripting。当我们在某网站输入参数XXX,发现参数XXX 原样的出现在了页面源码中: OK,可以开始做文章了,我们将XXX替换为:abc"/>alert('haha') |
今日新闻 |
推荐新闻 |
CopyRight 2018-2019 办公设备维修网 版权所有 豫ICP备15022753号-3 |