百度360必应搜狗淘宝本站头条
ug5 0软件免费下载右键菜单清理flac文件grub4doss spline
当前位置：网站首页 > 技术文章 > 正文

聊一聊xss（聊一聊奥运会）

cac55 2024-10-01 07:38 22 浏览 0 评论

XSS（跨站脚本攻击），聊两句，五毛的。

# XSS的危害：

  • 窃取Cookie，盗用用户身份信息

这玩意儿是大多数XSS的目标，也好解决，可以先治个标，直接设置HttpOnly=true ，即不允许客户端脚本访问，设置完成后，通过js去读取cookie，你会发现document.cookie 无法读取到被标识为HttpOnly的Cookie内容了。

  • 配合其他漏洞，如CSRF（跨站请求伪造）

这个其实就没那么好解决了，因为XSS利用用户身份构造的请求其实对于服务端来说是合法的。比如说咱在B站上传了一条视频，发现没几个人点赞，于是动了歪心思，打开控制台找到了投币点赞的接口，然后拿到了对应的请求参数。自己构造了一条投币请求，然后诱导其他人点击含有这个脚本的页面为咱的视频投币，这样就完成了一套攻击流程。

不用尝试了，没用的。别问我怎么知道的 =。=。

要是没做校验的话，那这就是一个高危漏洞，还传啥视频啊，赶紧发邮件给阿B领赏金去啊。

  • 广告

只要能发起XSS，我就能往页面里插广告，啥权限都不要，但是能引发这个问题的原因主要有两个。

  1. XSS。
  2. 用户自己安装外部脚本。

使用外部脚本一定要保证脚本来源的可信性，脚本的安全性。如果脚本是恶意的，那么他所能做的可就不只是弹弹广告这么简单了，替换个按钮，诱导点击钓鱼页面，替换某一条搜索结果，这都是可能的。

XSS扫描及防范

XSS风险有些是可以通过code review发现的，比如：

let result = document.getElementById('test');
result.innerHTML = await getInfo();

这段代码很容易看到风险位置——innerHTML ，如果后端返回的数据中包含恶意的代码片段，那么就能够被攻击。所以在使用Vue和React框架时，需要评估是否真的需要使用v-html 和dangerouslySetInnerHTML 功能，在前端的render（渲染）阶段就避免innerHTML 和 outerHTML [1]。

如果不使用框架，那就避免直接使用innerHTML 就好了。

至于review时无法发现的风险，那就交给扫描器吧。

防范XSS，除了少使用、不使用innerHTML 外，还可以设置严格的CSP[2]，限制用户的输入长度。

XSS是一个安全问题，它不只是前端的职责，这也是所有RD和QA的职责。

前端过滤用户输入后发给后端，后端如果不做处理存入数据库，那么这就是一个攻击点：直接抓前端的包，重新组装一下参数，发给后端，完成存储型XSS第一步，用户再访问这部分内容，就完成了一次XSS。

QA的总能搞出来一些奇奇怪怪的payload（亦称测试用例），这些可能都是RD未能考虑到的方面。

附一段白名单过滤用户输入的代码，点击GitHub查看。

[1]: 如何防止xss攻击

[2]: 内容安全策略

相关推荐

苹果新macOS、新Mac还没出，但已经有新版虚拟机软件Parallels Desktop 19

自从苹果电脑全面转向ARM架构芯片之后，想在新款Mac电脑上安装Windows或Linux系统，就只能依靠虚拟机软件了，其中ParallelsDesktop应该是比较多Mac用户选择使用的一款，现在...

这个开源神器可快速帮你安装 MacOS 虚拟机

大家好，我是JackTian。安装Windows和Linux操作系统是最熟悉不过的必备技能了。那么，给大家推荐一个非常实用的开源脚本：macos-guest-virtualbox.sh，帮你...

如何在VMware虚拟机上安装运行Mac OS系统??

想在自己的Windows电脑上安装一个MacOS体验一下苹果系统的小伙伴，教程来了！！！一、安装前准备虚拟机运行软件：VMwareWorkstationPro，版本：16.0.0。（可以注册）VM...

效率!MacOS下超级好用的Linux虚拟工具:Lima

对于MacOS用户来说，搭建Linux虚拟环境一直是件让人头疼的事。无论是VirtualBox还是商业的VMware，都显得过于笨重且配置复杂。今天，我们要介绍一个轻巧方便的纯命令行Linux虚拟工具...

普通电脑安装苹果MacOS+Windows10双系统，这次可不是虚拟机

上篇文章中说到，有一朋友因为工作需要，得临时使用苹果系统，笔者给他用VmwareWorkStation安装了一个苹果系统的虚拟机，结果装是装上了，但是发现调整分辨率有点小问题，文件传输也不方便。虽说...

官方证实苹果M1芯片不支持Windows 11

中关村在线消息：近日根据微软官方透露，目前已经确定Windows11不支持运行在苹果M1芯片上，这意味着过往在Mac电脑上安装Windows系统的做法在M1芯片的Mac电脑上并不适用。不过此前有网友...

这可能是 Mac 共享文件最详细的教程了

如果希望让一台Mac访问另一台Mac上的文件，就可以使用Mac的文件共享功能。而且不仅是Mac之间，甚至用iPhone、iPad、WindowsPC都可以访问Mac的共享文件...

在 M1/M2 Mac 上，让 Windows 11 免费“跑”起来

自从苹果在产品中逐步使用自研的M系列芯片淘汰掉英特尔芯片之后，很多事情都发生了改变。作者|KirkMcElhearn和JoshuaLong译者|弯月出品|CSDN（ID：CS...

VMware Workstation克隆虚拟机后修改ip地址和mac地址

VMwareWorkstation克隆虚拟机，登录之后发现，克隆虚拟机不仅用户名相同，连ip地址、mac地址也是相同的，很显然访问相同ip地址的虚拟机是会出现ip地址冲突的。一、修改IP地址这就需要...

VirtualBox7中安装macOS big sur，在windows10&11上「保姆级教程」

macOSBigSur是苹果公司研发的桌面端操作系统，于北京时间2020年6月23日在2020苹果全球开发者大会上发布。BigSur采用全新的精美设计，为主要app如Safari浏览器...

最强mac虚拟机Parallels Desktop 16 有哪些重要的新增功能?

ParallelsDesktop16正式发布，软件带来了一些显着的新功能和性能增强，包括对macOSBigSur的全面支持。当苹果推出macOSBigSur时，它终止了对Par...

关于在MacOS安装虚拟机的全过程（macos 安装虚拟机）

哈喽大家好，我是咕噜美乐蒂，很高兴又见面啦！下面美乐蒂将详细地给大家介绍一下在macOS上使用VMwareFusion创建虚拟机并安装操作系统的步骤：一、确认虚拟化支持：首先，确认你的Ma...

macOS上也能轻松运行Win系统的虚拟机，你还不知道吗?

在macOS系统上运行Win系统的方式，虚拟机篇吉安光头强原创你是否曾经为了在Mac上运行Windows系统而烦恼不用着急，下面我将分享一种简单易行的方法，让你轻松在Mac上运行Windows系统准备...

Mac M芯片上安装统信UOS 1070arm64虚拟机

原文链接：MacM芯片上安装统信UOS1070arm64虚拟机Hello，大家好啊！今天给大家带来一篇关于如何在苹果M系列芯片的Mac电脑上，通过VMware安装ARM64版统信UOS1070...

虚拟机不好用?Mac mini 多配一台Windows电脑，用远程桌面更好!

最近新入手了MacminiM4款，这里来更新一下相关问题，对于还没有购买Macmini，但是又想要用苹果电脑的朋友，一些参考，我觉得还是挺有用的！Macmini选择哪个渠道购买好？现在比较划算...

取消回复欢迎 你 发表评论:

一周热门
最近发表
标签列表