跨站脚本攻击及防范技术研究

摘要：跨站脚本攻击是当前Web安全领域常用攻击手段。该文介绍了跨站脚本攻击的基本概念，揭示了跨站脚本漏洞的严重性，分析跨站脚本漏洞的触发机制，论述了两种常见跨站脚本攻击模式，展示了几种跨站脚本攻击效果。最后，分别从Web应用程序编写和客户端用户两个层次，对跨站脚本攻击的防范措施进行了阐述。

关键词：跨站；脚本攻击；Web安全

中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)06-1234-03

XSS Attacks and Prevention Technology Research

DENG Yuan, HE Guo-hui, WU Qing

(PLA 61660 Unit, Beijing 100089,China)

Abstract: XSS attacks are a common means of attack in the field of Web security. This paper introduces the basic concepts of cross-site scripting attack, reveals the seriousness of the cross-site scripting vulnerability analysis of the trigger mechanism of the cross-site scripting vulnerabilities, discusses the two common cross-site scripting attack mode, showing the effect of several cross-site scripting attacks . Finally, the preparation of two levels and client users from the Web application, cross-site scripting attack prevention measures.

Key words: XSS; script attack; web security

脚本技术的广泛使用，使得跨站脚本漏洞在Web应用普遍存在。OWASP组织公布的数据显示，跨站脚本（Cross Site Script，简称为XSS）漏洞在10大Web应用安全风险中分别名列第4位、第l位和第2位[1]，跨站脚本攻击技术成为Web安全的研究热点。

1跨站脚本攻击技术

跨站脚本攻击是指攻击者以正常身份利用Web应用漏洞，攻击者向其提交包含恶意脚本代码的输入，由于该输入未经Web服务器严格验证，当用户访问这些恶意页面后，浏览器将自动加载并执行这些恶意脚本，完成攻击[2]。因此，跨站脚本攻击是一种间接攻击技术，不直接攻击Web服务器，而是以其为跳板攻击用户。跨站脚本中的“站”是指被利用的Web服务器[3]。

1.省略、ebay、Microsoft、Baidu. com、QQ空间等都曾存在跨站脚本漏洞，都曾遭受过跨站脚本攻击，著名社交网站Myspace则更是在遭受跨站脚本蠕虫攻击后20小时内感染上百万用户，最后导致网站瘫痪[4]。利用跨站脚本漏洞，攻击者可窃取用户Cookies或账户密码等隐私信息，编写可复制传播的跨站脚本蠕虫实施大规模Web攻击[5]。因此，跨站脚本漏洞是一种严重Web安全风险，需对其进行认真研究和防范。

1.2跨站脚本漏洞触发机制

执行JavaScript脚本的机制即跨站脚本漏洞的触发机制，主要有三种[6]：

1)直接触发：向Web页面中插入脚本标记，访问页面时即可运行JavaScript脚本；

2)利用HTML标签属性触发：配置href、img等HTML标签属性为JavaScript代码中的方法，载入包含该类标签页面时可执行Ja? vaScript脚本；

3)利用HTML事件触发：触发HTML标签中定义的鼠标事件、键盘事件时，同样可执行绑定的JavaScript代码。常用的事件属性有onClick、onMouseOver等；1.3跨站脚本攻击分类

攻击者可构造两类不同的攻击模式[7]：Reflection跨站脚本攻击、Stored跨站脚本攻击。

1.3.省略/test.asp?input=var+i=

new+Image;+i.src=”, 2000.

[3] Mike Ter Louw, V.N. Venkatakrishnan. Blueprint:Robust Prevention of Cross-site Scripting Attacks for Existing Browsers[C]. 2009 30th IEEE Symposium on Security and Privacy, 2009: 331-346.

[4] WIKIPEDIA. Same origin policy[EB/OL].en.省略/wiki/Same_origin_policy, 2010.

[5]沈寿忠.基于网络爬虫的SQL注入与XSS漏洞挖掘[D].西安:西安电子科技大学,2009.

[6]古开元,周安民.跨站脚本攻击原理与防范[J].网络安全技术与应用,2006.12: 33-36.

[7]王清. 0day安全:软件漏洞分析技术[M].北京:电子工业出版社,2008.

[8]吴耀斌,王科,龙岳红.基于跨站脚本的网络漏洞攻击与防范[J].计算机系统应用,2008,1:38-40.