聊一聊xss（聊一聊奥运会）
cac55 2024-10-01 07:38 17 浏览 0 评论
XSS（跨站脚本攻击），聊两句，五毛的。
# XSS的危害：
- 窃取Cookie，盗用用户身份信息
这玩意儿是大多数XSS的目标，也好解决，可以先治个标，直接设置HttpOnly=true ，即不允许客户端脚本访问，设置完成后，通过js去读取cookie，你会发现document.cookie 无法读取到被标识为HttpOnly的Cookie内容了。
- 配合其他漏洞，如CSRF（跨站请求伪造）
这个其实就没那么好解决了，因为XSS利用用户身份构造的请求其实对于服务端来说是合法的。比如说咱在B站上传了一条视频，发现没几个人点赞，于是动了歪心思，打开控制台找到了投币点赞的接口，然后拿到了对应的请求参数。自己构造了一条投币请求，然后诱导其他人点击含有这个脚本的页面为咱的视频投币，这样就完成了一套攻击流程。
不用尝试了，没用的。别问我怎么知道的 =。=。
要是没做校验的话，那这就是一个高危漏洞，还传啥视频啊，赶紧发邮件给阿B领赏金去啊。
- 广告
只要能发起XSS，我就能往页面里插广告，啥权限都不要，但是能引发这个问题的原因主要有两个。
- XSS。
- 用户自己安装外部脚本。
使用外部脚本一定要保证脚本来源的可信性，脚本的安全性。如果脚本是恶意的，那么他所能做的可就不只是弹弹广告这么简单了，替换个按钮，诱导点击钓鱼页面，替换某一条搜索结果，这都是可能的。
XSS扫描及防范
XSS风险有些是可以通过code review发现的，比如：
let result = document.getElementById('test');
result.innerHTML = await getInfo();这段代码很容易看到风险位置——innerHTML ，如果后端返回的数据中包含恶意的代码片段，那么就能够被攻击。所以在使用Vue和React框架时，需要评估是否真的需要使用v-html 和dangerouslySetInnerHTML 功能，在前端的render（渲染）阶段就避免innerHTML 和 outerHTML [1]。
如果不使用框架，那就避免直接使用innerHTML 就好了。
至于review时无法发现的风险，那就交给扫描器吧。
防范XSS，除了少使用、不使用innerHTML 外，还可以设置严格的CSP[2]，限制用户的输入长度。
XSS是一个安全问题，它不只是前端的职责，这也是所有RD和QA的职责。
前端过滤用户输入后发给后端，后端如果不做处理存入数据库，那么这就是一个攻击点：直接抓前端的包，重新组装一下参数，发给后端，完成存储型XSS第一步，用户再访问这部分内容，就完成了一次XSS。
QA的总能搞出来一些奇奇怪怪的payload（亦称测试用例），这些可能都是RD未能考虑到的方面。
附一段白名单过滤用户输入的代码，点击GitHub查看。
[1]: 如何防止xss攻击
[2]: 内容安全策略
相关推荐
- 电工电路图中二极管、三极管的符号标识
-
1、二极管二极管是一种常用的具有一个PN结的半导体器件，它具有单向导电性，通过二极管的电流只能沿一个方向流动。二极管只有在所加的正向电压达到一定值后才能导通。在电工电路图中，二极管以专用的图形符号和电...
- 开关部件在电工电路中的符号标识
-
1、在电工电路中还常常绘制有具有专门含义的图形符号，认识这些符号对于快速和准确理解电路图十分必要。在识读电工电路的过程中，还常常会遇到各种各样的功能部件的图形符号，用于标识其所代表的物理部件，例如各种...
- 走过路过 别错过!整理最全电工电路各种元器件及辅料字母符号解析
-
走过路过别错过！整理最全电工电路各种元器件及辅料字母符号解析建议收藏备用起来以备不时之需！每天学习一点点就会有收获！...
- 熬夜吐血整理的电工电路的字母符号!及各种元器件实物图解符号!
-
熬夜吐血整理的电工电路的字母符号！及各种元器件实物图解符号！...
- 电气人士接好了!史上最全的电气符号介绍
-
有没有人像小编一样看到这样的图纸就犯晕啊？像这样的图纸对于电气人士来说应该不陌生吧，可是对于一些刚入行的，或者在电气行业却不是技术岗位的人来说，那与天书没什么区别。今天小编狠狠心，为大家搜集了一些关于...
- 新手工程师，这些电路图符号你都了解吗?
-
以下电路图符号大全，千万别弄错了噢~~更多行业信息可查阅快点PCB平台订阅号：eqpcb_cp。...
- 电工学习通(一):电路图符号知识大全(安科瑞任心怡、许玉龙)
-
电路图符号知识我们常说的电路图呢是一种以物理电学标准符号来绘制各MOS管电子元器件组成和关系的电路原理布局图，听不懂也没关系，我们只要记住以下几点就可以了：电路图符号数量众多，大致可以分为四个类别：传...
- 常用电子元器件电路符号及实物外形图，你值得拥有
-
作为一名电工初学者，认识并了解常用的电子元器件是一项必备的基本技能，这包括电子元器件的电路符号、实物、用途等。本文电工学习网小编和大家分享一些电子元器件的电路符号及实物外形图，希望对大家的学习有所帮助...
- 电工常用的符号及单位
-
常用的符号及单位①欧姆定律I=U/R(适用于电阻电路，如白炽灯)②电能计算W=P·t（W为我们常说的电度，P为功率多少瓦或千瓦，t为时间小时计量）例如一个220V,60W的白炽灯，在220V电压工...
- 电路图常用的字母符号及释义(详细版!)
-
你是不是在查看电路图时常遇到一些看不懂的字母或字符，不明白它们表示什么含义？今天小编整理了一些电路图常用的字母符号及其释义，供大家查阅，赶快收藏吧！在之前的文章，小编大致整理了绘制电路图常涉及的电路符...
- 最全电工电路的字母符号大全!电工必备知识技能!建议收藏备用
-
最全电工电路的字母符号大全！电工必备知识技能！建议收藏备用！每天学习一点点就会有收获！学海无涯！...
- 电路符号大全，赶快收藏
-
认识电路符号是绘制电路图的前提。绘制电路图需要涉及的电路符号罗列出来有很多，大致可以分为五个类别：基本电路符号、传输路径符号、开关和继电器符号、集成电路组件以及限定符号。基本电路符号绘制基础电路图可能...
- 电气电路的图形符号，不怕看不懂电路图啦
-
一、电压、电流、电池的图形符号//二、信号灯、信号器件、按钮、旋钮开关和测量仪表的图形符号//三、负载开关的图形符号//四、熔断器的图形符号//五、继电器、接触器、接触器触点和操作器件的图形符号//六...
- 图解普通电阻器电路符号的含义，初学者必看
-
电子元器件的电路符号中含有许多有用的、对电路分析有益的识图信息，掌握了电子元器件电路符号的识图，电路分析就会简单一些。电阻器电路符号图1-1所示是普通电阻器电路符号图解示意图。在电路分析中，为了表述方...
- 电路图符号大全(电容、电阻、二极管、三极官、集成电路)
-
基础知识薄弱，不懂工作原理，不会看图、识图，这里更多电路图（原理图）符号大全、电路图形符号（指用一种书画图形代表一种电子元件）(比如:电容、电阻、二极管、三极官、集成电路等等)的符号为初学...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- 如何绘制折线图 (52)
- javaabstract (48)
- 新浪微博头像 (53)
- grub4dos (66)
- s扫描器 (51)
- httpfile dll (48)
- ps实例教程 (55)
- taskmgr (51)
- s spline (61)
- vnc远程控制 (47)
- 数据丢失 (47)
- wbem (57)
- flac文件 (72)
- 网页制作基础教程 (53)
- 镜像文件刻录 (61)
- ug5 0软件免费下载 (78)
- debian下载 (53)
- ubuntu10 04 (60)
- web qq登录 (59)
- 笔记本变成无线路由 (52)
- flash player 11 4 (50)
- 右键菜单清理 (78)
- cuteftp 注册码 (57)
- ospf协议 (53)
- ms17 010 下载 (60)