XSS的相關知識

XSS 簡介

人們經常將跨站腳本攻擊（Cross Site Scripting）縮寫為CSS，但這會與層疊樣式表（Cascading Style Sheets，CSS）的縮寫混淆。因此，有人將跨站腳本攻擊縮寫為XSS。

跨站腳本攻擊（XSS），是最普遍的Web應用安全漏洞。這類漏洞能夠使得攻擊者嵌入惡意腳本代碼到正常用戶會訪問到的頁面中，當正常用戶訪問該頁面時，則可導致嵌入的惡意腳本代碼的執行，從而達到惡意攻擊用戶的目的。

攻擊者可以使用戶在瀏覽器中執行其預定義的惡意腳本，其導致的危害可想而知，如劫持用戶會話，插入惡意內容、重定向用戶、使用惡意軟體劫持用戶瀏覽器、繁殖XSS蠕蟲，甚至破壞網站、修改路由器配置信息等。

XSS 危害

1.網絡釣魚，包括盜取各類用戶帳號；

2.竊取用戶cookies資料，從而獲取用戶隱私信息，或利用用戶身份進一步對網站執行操作；

3.劫持用戶（瀏覽器）會話，從而執行任意操作，例如進行非法轉帳、強制發表日誌、發送電子郵件等；

4.強制彈出廣告頁面、刷流量等；

5.網頁掛馬；

6.進行惡意操作，例如任意篡改頁面信息、刪除文章等；

7.進行大量的客戶端攻擊，如DDoS攻擊；

8.結合其他漏洞，如CSRF漏洞，實施進一步作惡；

9.傳播跨站腳本蠕蟲等。

盜取各類用戶帳號權限(控制所盜竊權限數據內容)，如機器登錄帳號、用戶網銀帳號、各類管理員帳號控制企業數據，包括讀取、篡改、添加、刪除企業敏感數據的能力基於XSS的跨站業務請求(如：非法轉帳、非法下單、非法轉載/發表內容、發送電子郵件、利用管理員身份提權掛馬、控制受害者機器向其它網站發起攻擊等)形成持久化APT攻擊，長期控制網站業務中樞利用跨站業務形成蠕蟲病毒式傳播劫持網站，劫持後可用於釣魚、偽裝、跳轉、掛廣告等，屬掛馬類型

XSS跨站腳本，是一種Web安全漏洞，有趣是是他並不像SQL注入等攻擊手段攻擊服務端，本身對Web伺服器沒有危害，攻擊的對象是客戶端，使用瀏覽器訪問這些惡意地址的網民。

XSS 原理

HTML是一種超文本標記語言，通過將一些字符特殊地對待來區別文本和標記，例如，小於符號（<）被看作是HTML標籤的開始，<title>與</title>之間的字符是頁面的標題等等。當動態頁面中插入的內容含有這些特殊字符（如<）時，用戶瀏覽器會將其誤認為是插入了HTML標籤，當這些HTML標籤引入了一段JavaScript腳本時，這些腳本程序就將會在用戶瀏覽器中執行。所以，當這些特殊字符不能被動態頁面檢查或檢查出現失誤時，就將會產生XSS漏洞。

主要的攻擊是在HTML中加入了JavaScript腳本，這個腳本可能會寫一些發起攻擊的代碼。

標籤中，或者標籤的屬性中都可以加入腳本。詳情看下面《XSS的原理分析與解剖》博文說明。

XSS攻擊：xss就是在頁面執行你想要的js，只要能允許JS，就能獲取cookie（設置http-only除外），就能發起一些事件操作等。

註：評論內容摘要

1、chrome內核與ie內核不一樣，chrome的過濾機制比ie強。現在測試xss一般都拿能過chrome的為主

2、現在的chrome瀏覽器默認開啟了xss過濾機制，可以通過關閉該機制來進行xss測試，方法如下： windows下，右鍵桌面中的&34;快捷鍵，然後在目標選項，chrome.exe後面加上參數:--args --disable-xss-auditor即可。

XSS 的本質是：惡意代碼未經過濾，與網站正常的代碼混在一起；瀏覽器無法分辨哪些腳本是可信的，導致惡意腳本被執行。