Web安全之前端攻击.pdfVIP

在线学习好工作 / Web 安全之前端攻击 前端攻击成因 在web 网页的脚本中，有些部分的显示内容会依据外界输入值而发生变化， 而如果这些声称html 的程序中存在问题，就会滋生名为跨站脚本的安全隐患 XSS 跨站脚本攻击： 英文全称cross-site-scripting，为了区别于cascading style sheets 层叠样式表 （CSS ），因此缩写为XSS 。 Web 应用程序中，如果存在XSS 漏洞，就会有以下风险： 1、用户的浏览器中运行攻击者的恶意脚本，从而导致库kit 信息被窃取，攻击 者就会假冒用户的信息进行登录。 2、攻击者能够获取用户的权限，来恶意使用web 应用的功能。 3、可以向用户使用伪造的数据表单，通过钓鱼的方式来窃取用户的个人信息。 也就是我们这里讲到的主要的钓鱼攻击和盗取cookie 接下来以实际的例子来看 钓鱼攻击 提交单引号，显示有语法错误 通过url 的输入，我们能在页面中显示出来，那我们是否可以构造一个js 脚本， 我们来看一下效果。能够弹出一个警告框，说明跨站脚本攻击漏洞存在 怎么构造钓鱼？使用标签iframe.可以看到百度已经在这里嵌入了 假如这是一个银行网银登录的网站，存在这样的漏洞，那我们作为攻击者，我 可以构造一个类似的页面，把它原有的登录框覆盖掉。我可以把这个链接发给被 攻击者，以邮件或者其他的方式，这里需要用到的技术是社会工程学，诱使被攻 击者访问这个链接，最终欺骗他来登录，而攻击者就可以轻易的拿到被攻击者的 账号和密码信息。也有人问，发过去的这个链接带有这样的标志或参数，被攻击 者一眼就能看出来。在这里，我们可以对这段代码进行编码，不管是url 的编码 还是其他方式的编码，也就是说，被攻击者一眼看不出来这个异常，所以就会被 诱使去访问这个链接，最终造成影响。这个是钓鱼攻击。 盗取cookie 这里需要用到一个函数document.cookie 同样是个警告提示。可以看出它的 PHPSESSID 已经被显示了出来，但这种显示是不可能达到攻击效果的 Xss 漏洞 Web 应用的网页上显示外界传入的参数场所不在少数，只要有一处存在xss 漏 洞，网站的用户就有被冒名顶替的风险。也就是我们的cookie 信息被获取，我 们就存在有被冒名顶替的风险。另外，web 应用中要防护的xss 漏洞有很多，然 而网站运营方或者是站长却普遍对此漏洞疏忽大意，对实质防护的措施不够重 视，但是，现实生活中xss 攻击却是存在的，而且xss 的受害者也是与日俱增。 因此，在web 应用中，采用防范xss 的策略是必不可少的 将存在隐患的网站将用户引发至一个恶意的网站，也就是说我们刚才获取 cookie 的信息不是让它alter 告警方式展示给用户，而是通过脚本程序将我们函 数获取的cookie 信息，发送至远程的恶意网站，远程的这个恶意网站是专门用 来接收当前的cookie 信息的，当被攻击者触发这个漏洞以后，它当前用户的 cookie 信息就会被发送到远端的恶意网站。攻击者登录恶意网站，查看到cookie 信息后可以对这个用户的控制权限进行冒名顶替。 实例： 还是dvwa 的演示环境 发射型跨站 获取用户的cookie 信息 输入1，显示hello 1 验证是否会在当前输入前面加入hello 输入2 发现同样hello 2.我们的输出会在前面加上hello，然后再当前页面直接 输出 假设我们输入相应的js 脚本，它是不是也会在当前页面直接输出并且执行呢 我们可以看出，当前的脚本已经被执行，而且js 脚本也被触发，alter，也就是 警告弹出了相应的提示框 那我们怎么来换取当前用户的cookie 信息呢？ 同样document.cookie 这个函数。可以看到这里是低安全级别 PHPSESSID 同样 也获取到了，当被攻击者拿到这个值以后，就可以直接对这个登录用户的网站或 应用进行直接访问。而且，访问后攻击者所获取的权限将和当前登录用户的权限 一模一样。假设被攻击者是一个网站的后台管理员，网站如果存在xss 漏洞的话， 作为攻击者，我可以将我构造的代码，发送给网站管理员，欺骗他进行访问，当 然这个欺骗方式可以是发邮件，以钓鱼的形式，当被攻击者访问这个恶意链接以 后，他的网站后台的cookie 信息就