作爲網站的業務管理者，在欣賞自己爲客戶提供的豐富業務和趣味性體驗時，你是否曾經想過網站會成爲攻擊者攻擊第三方的媒介，從而導致公信度大爲受損?作爲一個網站的訪客，你是否曾經想過在訪問這個自己再熟悉不過的網站時，你的私密信息已經被他人竊取?這些都與跨站腳本攻擊有關。下面讓我們詳細瞭解這類攻擊。更多消息請關注應屆畢業生網！　　一、什麼是跨站腳本?　　跨站腳本(Cross-site scripting，簡稱XSS)，是一種迫使Web站點回顯可執行代碼的攻擊技術，而這些可執行代碼由攻擊者提供、最終爲用戶瀏覽器加載。不同於大多數攻擊(一般只涉及攻擊者和受害者)，XSS涉及到三方，即攻擊者、客戶端與網站。XSS的攻擊目標是爲了盜取客戶端的cookie或者其他網站用於識別客戶端身份的敏感信息。獲取到合法用戶的信息後，攻擊者甚至可以假冒最終用戶與網站進行交互。　　XSS漏洞成因是由於動態網頁的Web應用對用戶提交請求參數未做充分的檢查過濾，允許用戶在提交的數據中摻入HTML代碼(最主要的是“>”、“<”)，然後未加編碼地輸出到第三方用戶的瀏覽器，這些攻擊者惡意提交代碼會被受害用戶的瀏覽器解釋執行。　　二、XSS縮寫來源?　　依照英文縮寫習慣，簡稱跨站腳本爲CSS/" id="k530842266" target="_blank">CSS。這樣會引起它和另一個名詞“層疊樣式表”(Cascading Style Sheets，CSS)的混淆。此CSS非彼CSS。爲了以示區別，一些安全人士就習慣將跨站腳本簡稱爲XSS。　　三、XSS存在哪些威脅?　　攻擊者可以利用XSS漏洞、藉助存在漏洞的Web網站攻擊其他瀏覽相關網頁的用戶，竊取用戶瀏覽會話中諸如用戶名和口令(可能包含在cookie裏)的敏感信息、通過插入惡意代碼對用戶執行掛馬攻擊。XSS漏洞還可能被攻擊者用於網頁篡改，只是多數情況爲了經濟利益最大化，攻擊者不會直接進行篡改。　　四、XSS漏洞的普及率有多高?　　國際Web應用安全組織WASC(Web Application Security Consortium)最新數據[4]表明，採樣分析了10297個網站，其中有31.47%站點存在XSS漏洞，且XSS在發現的漏洞中佔到總數的41.41%，高居榜首。　　圖1. 最爲普及的Web應用安全漏洞[4]　　五、能否列舉XSS實例?　　2005年，一位叫Samy的MySpace用戶自創了一種XSS蠕蟲，24小時內，其網絡空間朋友數目成功從73上升到1百萬。　　2006年，PayPal遭到XSS攻擊，攻擊者將PayPal站點的訪問者重定向到一個新的頁面，上面警告用戶他們的帳號已經不再安全，需要重新設置，並提示輸入PayPal的登錄信息、用戶社保信息及信用卡信息。　　2008年5月，eBay承認其PayPal頁面存在XSS漏洞，該漏洞會被攻擊者用於盜取用戶證書或cookie。　　六、攻擊者如何通過XSS攻擊偷取cookie?　　在此，僅做舉例說明，幫助讀者理解XSS攻擊的思路。本文中的例子來自。　　首先，讓我們假設：存在一個網站erablee****。該網站上有一個腳本，參數設定爲name。此腳本會讀取HTTP請求的部分，然後未做任何安全性驗證，就將請求內容部分或全部回顯到響應頁面。　　通常，如果用戶端發送以下請求：　　GET / HTTP/1.0Host: erablee****　　服務器將會有如下響應：　　Hi SammiWelcome!...　　彈出Alert窗口示例　　上述機制將如何爲攻擊者所利用呢?我們先列舉一個直觀的方法。通常，攻擊者會應用社會工程學(Social Engineering)設法誘騙受害者點擊由攻擊者精心構造的鏈接，如發送一封標題爲“免費聽林肯公園北京現場演唱會”的郵件。　　攻擊者構造的惡意鏈接如下：　　erablee**　　受害者一旦點擊了惡意鏈接，會發送如下請求到erablee***站點：　　GET / HTTP/1.0Host: erablee****...　　站點將返回如下響應：　　HiWelcome!...　　因爲服務器端返回的HTML頁面包含一段JavaScript代碼，受害者瀏覽器會解釋執行。這段代碼被執行後，將被允許訪問瀏覽器中屬於erablee***站點的cookie。此時，用戶側瀏覽器上會彈出一個alert窗口。　　網站收集cookie示例　　真實的攻擊步驟中，這些cookie會被髮送給攻 擊者。攻擊者爲此會搭建一個網站(我們稱爲ckere**)，還會應用一個腳本負責接收盜取的cookie。攻擊者會寫一段惡意 代碼，用於實現訪問攻擊者站點、並能調用接收cookie的腳本。最終，攻擊者可以從ckere**om站點獲取到cookie。　　構造的惡意鏈接如下：　　erablee**om/　　服務器響應內容顯示爲：　　HiWelcome!...　　瀏覽器會加載服務器端返回頁面，執行內嵌的JavaScript，併發送一個請求到ckere**om站點上的 腳本，瀏覽器中保存的erablee***站點的ie值也會一起發送過去。攻擊者獲取到客戶在 erablee***站點的cookie，還可以假冒受害者。　　七、加密是否能有效防護XSS攻擊?　　通常大家會認爲如果網站使用了HTTPS，提供更有保障的安全，可以倖免於XSS攻擊。其實這是一種誤解。HTTPS僅提供傳輸層的安全，在應用層仍然面臨XSS的威脅。　　八、XSS漏洞是否可能引起非法執行命令?　　如果瀏覽器設置安全性不夠時，XSS漏洞允許插入JavaScript，也就意味着攻擊者可能獲取受限的客戶端執行權限。如果攻擊者進而利用瀏覽器的漏洞，就有可能在客戶端非法執行命令。簡言之，XSS漏洞有助於進一步利用瀏覽器漏洞。　　九、從網站開發者角度，如何防護XSS攻擊?　　來自應用安全國際組織OWASP的建議，對XSS最佳的防護應該結合以下兩種方法：驗證所有輸入數據，有效檢測攻擊;對所有輸出數據進行適當的編碼，以防止任何已成功注入的腳本在瀏覽器端運行。具體如下：　　輸入驗證：某個數據被接受爲可被顯示或存儲之前，使用標準輸入驗證機制，驗證所有輸入數據的長度、類型、語法以及業務規則。　　強壯的輸出編碼：數據輸出前，確保用戶提交的數據已被正確進行entity編碼，建議對所有字符進行編碼而不僅侷限於某個子集。　　明確指定輸出的編碼方式(如ISO 8859-1或 UTF 8)：不要允許攻擊者爲你的用戶選擇編碼方式。　　注意黑名單驗證方式的侷限性：僅僅查找或替換一些字符(如"<" ">"或類似"script"的關鍵字)，很容易被XSS變種攻擊繞過驗證機制。　　警惕規範化錯誤：驗證輸入之前，必須進行解碼及規範化以符合應用程序當前的內部表示方法。請確定應用程序對同一輸入不做兩次解碼。　　十、從網站用戶角度，如何防護XSS攻擊?　　當你打開一封Email或附件、瀏覽論壇帖子時，可能惡意腳本會自動執行，因此，在做這些操作時一定要特別謹慎。建議在瀏覽器設置中關閉JavaScript。如果使用IE瀏覽器，將安全級別設置到“高”。具體可以參照瀏覽器安全的相關文章。　　這裏需要再次提醒的是，XSS攻擊其實伴隨着社會工程學的成功應用，需要增強安全意識，只信任值得信任的站點或內容。　　十一、如果修補XSS漏洞對網站來說困難較大，不修補會怎樣?　　如果不能及時修補XSS漏洞，網站可能成爲攻擊者攻擊第三方的媒介，公信度受損;網站用戶成爲受害者，敏感信息泄漏。現實中，確實存在某些無法修補漏洞的客觀原因，如Web應用開發年代久遠或者整改代碼需要付出過於高昂的代價。這種情況下， 選擇Web安全網關會是一種合理選擇。正確應用這類安全工具，會極大緩解XSS攻擊，降低安全風險。　　十二、下一代XSS會是怎樣的?　　隨着AJAX(Asynchronous JavaScript and XML，異步JavaScript和XML)技術的普遍應用，XSS的攻擊危害將被放大。使用AJAX的最大優點，就是可以不用更新整個頁面來維護數 據，Web應用可以更迅速地響應用戶請求。AJAX會處理來自Web服務器及源自第三方的豐富信息，這對XSS攻擊提供了良好的機會。AJAX應用架構會泄漏更多應用的細節，如函數和變量名稱、函數參數及返回類型、數據類型及有效範圍等。AJAX應用架構還有着較傳統架構更多的應用輸入，這就增加了可被攻擊的點。