怎么分析反射型XSS

今天就跟大家聊聊有關(guān)怎么分析反射型XSS，可能很多人都不太了解，為了讓大家更加了解，小編給大家總結(jié)了以下內(nèi)容，希望大家根據(jù)這篇文章可以有所收獲。

1、反射型 XSS

反射型 XSS 是指應(yīng)用程序通過 Web 請求獲取不可信賴的數(shù)據(jù)，在未檢驗(yàn)數(shù)據(jù)是否存在惡意代碼的情況下，便將其傳送給了 Web 用戶。反射型 XSS 一般由攻擊者構(gòu)造帶有惡意代碼參數(shù)的 URL，當(dāng) URL 地址被打開時(shí)，特有的惡意代碼參數(shù)被 HTML 解析、執(zhí)行，它的特點(diǎn)是非持久化，必須用戶點(diǎn)擊帶有特定參數(shù)的鏈接才能引起。小編以 JAVA 語言源代碼為例，分析 CWE ID 80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) 

2、 反射型 XSS 的危害

當(dāng)用戶訪問一個(gè)帶有 XSS 代碼的 URL 請求時(shí)，服務(wù)器端接收數(shù)據(jù)后處理，然后把帶有 XSS 代碼的數(shù)據(jù)發(fā)送到瀏覽器，瀏覽器解析這段帶有XSS代碼的數(shù)據(jù)后，造成 XSS 漏洞，可能導(dǎo)致竊取目標(biāo)網(wǎng)站的 Cookie 到攻擊者的服務(wù)器上，讀取用戶未公開的資料或Click劫持實(shí)施釣魚攻擊等。從2018年1月至11月，CVE 中共有126條漏洞信息與其相關(guān)。部分漏洞如下：

3、示例代碼

示例源于Samate Juliet Test Suite for Java v1.3  (https://samate.nist.gov/SARD/testsuite.php)，源文件名：CWE80_XSS__CWE182_Servlet_URLConnection_03.java。

3.1缺陷代碼

上述示例代碼操作是獲取用戶的年齡，在第40行創(chuàng)建連接對象，在第44行創(chuàng)建輸入流獲得urlConnection對象響應(yīng)的內(nèi)容，在第52行從緩沖流中讀取一行數(shù)據(jù)，在第100行中，將獲得的數(shù)據(jù)去除所有的<script>標(biāo)簽并向頁面輸出處理后的數(shù)據(jù)，即使過濾了<script>標(biāo)簽，但仍然可以使用其他html標(biāo)簽，在這里構(gòu)造了惡意的url，但網(wǎng)站未做防護(hù)時(shí)，頁面會讀取到document.cookie的內(nèi)容并輸入到頁面。這樣就造成了反射型 XSS。

使用360代碼衛(wèi)士對上述示例代碼進(jìn)行檢測，可以檢出“反射型XSS”缺陷，顯示等級為高。從跟蹤路徑中可以分析出數(shù)據(jù)的污染源以及數(shù)據(jù)流向，在代碼行第100行報(bào)出缺陷，如圖1所示：

圖1：反射型 XSS 檢測示例

3.2 修復(fù)代碼

在上述修復(fù)代碼中，由于頁面輸出的內(nèi)容為用戶的年齡，在第96行，對響應(yīng)的內(nèi)容轉(zhuǎn)換為數(shù)字，這樣就過濾了其它 html 的字符，即使存在字符，代碼會報(bào)出異常，并不會造成反射型 XSS 的發(fā)生。

使用360代碼衛(wèi)士對修復(fù)后的代碼進(jìn)行檢測，可以看到已不存在“反射型XSS”缺陷。如圖2：

圖2：修復(fù)后檢測結(jié)果

4 、如何避免反射型 XSS

要避免反射型 XSS，需要注意以下幾點(diǎn)：

(1) 對用戶的輸入進(jìn)行合理驗(yàn)證（如年齡只能是數(shù)字），對特殊字符（如 <、>、'、"等）以及<script>、javascript 等進(jìn)行過濾。

(2) 根據(jù)數(shù)據(jù)將要置于 HTML 上下文中的不同位置（HTML 標(biāo)簽、HTML 屬性、JavaScript 腳本、CSS、URL），對所有不可信數(shù)據(jù)進(jìn)行恰當(dāng)?shù)妮敵鼍幋a。

(3) 設(shè)置HttpOnly屬性，避免攻擊者利用XSS漏洞進(jìn)行Cookie劫持攻擊。在 JavaEE 中，給Cookie添加HttpOnly的代碼如下：

看完上述內(nèi)容，你們對怎么分析反射型XSS有進(jìn)一步的了解嗎？如果還想了解更多知識或者相關(guān)內(nèi)容，請關(guān)注億速云行業(yè)資訊頻道，感謝大家的支持。