网络环境中XSS漏洞攻击与防御研究

刘 杰，葛晓玢

（铜陵职业技术学院，安徽 铜陵 244061）

网络环境中XSS漏洞攻击与防御研究

刘 杰，葛晓玢

（铜陵职业技术学院，安徽 铜陵 244061）

本文针对Web应用程序下的XSS漏洞攻击进行分析，以XSS攻击概念为切入点，对其漏洞分类、攻击形式进行分析，通过详细的理论论述谭涛涛出有效防御措施。

XSS漏洞；攻击形式；防御措施

1 XSS漏洞攻击

XSS漏洞攻击，英文名称为 Cross Site Scripting，即跨站脚本攻击，是一种站点应用程序的安全漏洞攻击。XSS漏洞攻击具有明显自身特点，它能够通过用户恶意脚本代码的上传，上传到Web服务器后进一步攻击用户；或它直接将含有恶意脚本的Web站点的URL链接发给用户，造成用户访问该网站时对恶意代码完成加载，受到XSS漏洞攻击。XSS漏洞攻击主要是对用户账号、密码的窃取，或对其用户商业信息的窃取等。

2 Xss漏洞类型划分

结合 XSS注入位置以及触发流程之间存在的差异性，XSS漏洞基本可以划分为三种类型，分别为：存储式、反射式以及DOM漏洞[1]。

（1）存储式类型漏洞。现阶段这种类型的漏洞应用最广泛，直接会造成对web服务器等的安全受到影响，为此，危害性相对更强，这种漏洞产生主要原因包括几个方面：web程序会允许用户对恶意攻击脚本进行上传，并造成所有访问用户受到安全威胁。

（2）反射式类型漏洞。Web程序当中超过75%的漏洞产生在XSS当中，造成这种情况的主要原因包括web程序并不会对用户提交数据内容进行过滤，促使web客户端应用的服务器脚本生成界面能够对用户提供数据时，未经验证以及HTML实体编码用户输入数据被包含在界面当中，促使客户端代码注入进动态界面当中。

（3）基于DOM类型漏洞。存储式类型以及反射式类型的漏洞形成具有一个共同点，也就是攻击者构造的恶意脚本代码应当发送到web服务器当中，在被攻击者请求被攻击界面的同时，通过web服务器就对恶意代码嵌入到相应的HTML代码当中，并在浏览器当中执行。基于DOM漏洞不具备的主要特征，这个漏洞多集中在界面客户端脚本当中，攻击者在用户请求URL当中会制造恶意代码，病造成用户收到DOM的跨站脚本攻击。

3 XSS漏洞攻击主要方式分析

3.1 CSRF攻击类型分析

CSRF攻击类型会利用伪装的方式获得用户的新人，并请求利用受信任的网站发起攻击，这种攻击类型主要在BLOG以及SNS等大型社区类型网站脚本蠕虫频繁使用。借助跨站脚本蠕虫的方式反复触发并快速传播，最终可能造成web程序崩溃。例如在2011你啊你新浪微博发生的一次CSRF攻击当中，就有超过了33000个用户收到波及[2]。

3.2 窃取Cookie会话类型分析

通过大部分类型的web应用程序运用Cookie标示用户登陆及身份状态，为此，借助窃取Cookie可以获得用户的个人隐私信息内容。如当攻击者寻找到某个留言信息网站当中存在存储类型的漏洞，攻击者就可以注册这个网站当中的用户，登陆到网站当中，提交恶意跨站脚本，通过这种方式获取其他用户的Cookie，此时，在另一端实施操作的用户就会接收到这种脚本文件，攻击者就能够通过接受脚本的行为获得用户隐私信息，并利用被获取信息的用户身份完成相关网站操作。

3.3 客户端代理攻击类型分析

客户端代理攻击类型攻击行为的基本过程就是攻击者借助 XSS促使被攻击对象进入到特定的界面当中，进而促使访问响应，这个过程中就会类似代理服务器机制，也就是客户端代理攻击。这种类型的攻击方式比较类似CSRF攻击，但是因为主要应用的是用户合法身份，为此，攻击行为的隐蔽性也相对更强。

4 XSS漏洞主要防御措施

4.1 服务器端方面分析

（1）对用户输入信息加以过滤。开发人员需要能够始终保持对全部信息内容的不信任态度，针对用户输入全部信息内容进行过滤，在执行操作的过程中需要考虑例如“javascript”，等特殊字符内容，同事也需要对字符大小写与空格等进行转义保存，病对输出等信息内容等进行还原。

（2）限制用户输入本文类型等内容。相关技术开发人员能够对数据库端或者是表单中文本长度等加以限制，并通过这种方式达到安全防范。

（3）检测传输图片文本。相关技术开发人员也应当对用户传输的图片文本等进行检测，验证图片等的格式是否存在伪格式，图片服务器尽量不开启程序。

（4）防御CSRF分析。在通过web程序CSRF进行防御阶段，能够借助HTTPReferer等对URL的来源加以分析，或者也可以采用验证码的方式完成对用户的身份检测。

（5）应用入侵检测系统。借助服务器端安装的检测系统可以完成对跨站脚本攻击的防护，在使用跨站脚本检测系统的过程中可以应用三个策略完成对攻击行为的检测，同事也可以使用四个策略实现。

4.2 客户端防御主要应用措施

（1）采用更新版本浏览器。采用更新版本浏览器可以有效防御攻击，例如可以采用IE8浏览器，这样可以引入跨站脚本过滤器，并能够更好的实现对反射式攻击的防护。

（2）谨慎选择外部链接。谨慎选择外部链接，对可疑链接或者是外来电子邮件，通常不应当链接，或者是直接通过这个网站进入，通过这种方式也能够较好防护[3]。

（3）使用杀毒软件。用户需要通过安装可靠的杀毒软件或者其他类型的安全工具进行防护，同时，也应当对病毒库进行革新。通过借助安全工具可以更好的实现对网页木马等内容的攻击防护，此外，多网站需要设置不同的密码，对密码进行定期的更换，避免跨站脚本对密码进行窃取。

5 结束语

综上所述，在计算机技术以及Web应用程序不断普及发展与应用的过程中，XSS漏洞类型以及攻击形式不断呈现多样化特征，给计算机用户安全带来严重威胁。针对XSS漏洞攻击的有效防御要加强程序开发整体质量，这就要求程序开发人员技术不断创新，质量不断提升，通过多角度防御措施的应用提高程序安全行，独具跨站脚本攻击发生。另外，为有效降低跨站脚本攻击安全事件发生率，计算机用户应不断提升安全防范意识，在网站登陆及浏览过程中注重防范策略的应用，杜绝受到XSS漏洞攻击，保障自身数据信息安全[4]。

[1]吴子敬,张宪忠,管磊,胡光俊.基于反过滤规则集和自动爬虫的 XSS漏洞深度挖掘技术[J].北京理工大学学报,2012,04:395-401.

[2]张大卫,解永刚,杨亚彪,何红玲.XSS攻击分析与防御机制研究[J].数字技术与应用,2012,12:40+42.

[3]刘鑫,孙名松,唐亮.基于代理的XSS漏洞检测与收集系统的实现[J].哈尔滨理工大学学报,2010,02:43-46.

[4]刘为.基于模糊测试的XSS漏洞检测系统研究与实现[D].湖南大学,2010.

Research on XSS vulnerability attack and defense in Network

LIU Jie
(Tongling Vocational and Technical College,Tongling Anhui 244061)

This paper for web applications of XSS exploits of analysis,to XSS attack concept as the starting point,on the vulnerability classification and the form of attack are analyzed.

XSS vulnerability; Attack form; Defense measures

：A

10.3969/j.issn.1672-7304.2016.01.062

1672–7304(2016)01–0133–02

安徽省质量工程项目(项目编号：2013tszy061)。

（责任编辑：张时玮）

刘杰（1983-），男，安徽铜陵人，讲师，研究方向：网络和系统安全。