XSS攻击分析和防御机制研究.docVIP

XSS攻击分析和防御机制研究 　　摘要：XSS（跨站脚本）漏洞是一种Web应用程序安全漏洞，常被黑客用来对Web用户发起攻击。本文主要介绍了XXS漏洞产生原理，分析了XXS攻击的三种类型，然后针对XSS攻击的防御方法进行了介绍，主要介绍了基于特征的防御、基于代码修改的防御和客户端分层防御三种防御方法，最后简要介绍了XSS防御的发展趋势。 　　关键词：XSS漏洞 XSS攻击 XSS攻击防御 发展趋势 　　中图分类号：TP393.08 文献标识码：A 文章编号：1007-9416（2012）12-0040-02 　　1、引言 　　XSS又名CSS（Cross Site Script），即跨站脚本，为区别于缩写相同的层叠样式表（CSS），因此命名为XSS。之所以被称为跨站脚本，是指一个Web站点可以越过安全边界线通过某些方式把其选择的代码注入到另一个有漏洞的Web 站点中。当这些注入的代码作为目标站点的代码在受害者的浏览器中被执行时，攻击者就能够窃取到相应的敏感数据，并可以强迫用户做一些并非用户本意的事情。XSS 攻击具备隐蔽性强、发起容易等特点，同时又具有快速扩散能力。 　　2、XSS漏洞的产生原理 　　HTML是一种超文本标记语言，通过将一些字符特殊地对待来区别文本和标记，例如，小于符号（与之间的字符是页面的标题等等。当动态页面中插入的内容含有这些特殊字符（如）时，用户浏览器会将其误认为是插入了HTML标签，当这些HTML标签引入了一段JavaScript脚本时，这些脚本程序就将会在用户浏览器中执行。所以，当这些特殊字符不能被动态页面检查或检查出现失误时，就将会产生XSS漏洞。 　　3、XSS攻击防御研究及发展趋势 　　3.1 XSS防御研究 　　（1）基于特征的防御。XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同。这就给XSS漏洞防御带来了困难，不可能以单一特征来概括所有XSS攻击。 　　传统的XSS防御在进行攻击鉴别时多采用特征匹配方式，主要是针对“javascript”这个关键字进行检索，但是这种鉴别不够灵活，凡是提交的信息中各有“javascript”时，就被硬性的被判定为XSS攻击。这样的防御，攻击者只要在相关关键词和编码方式上进行避免： 　　（2）基于代码修改的防御。Web页面开发者在编写程序时往往会出现一些失误和漏洞，XSS攻击正是利用了失误和漏洞，因此一种比较理想的方法就是通过优化Web应用开发来减少漏洞，避免被攻击：1）用户向服务器上提交的信息要对URL和附带的的HTTP头、POST数据等进行查询，对不是规定格式、长度的内容进行过滤。2）实现Session标记（session tokens）、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。3）确认接收的的内容被妥善的规范化，仅包含最小的、安全的Tag（没有javascript），去掉任何对远程内容的引用（尤其是样式表和javascript），使用HTTP only的cookie。 　　当然，如上操作将会降低Web业务系统的可用性，用户仅能输入少量的制定字符，人与系统间的交互被降到极致，仅适用于信息发布型站点。并且考虑到很少有Web编码人员受过正规的安全培训，很难做到完全避免页面中的XSS漏洞。 　　（3）客户端分层防御策略。客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端（浏览器），这是它与其他模型最大的区别，之所以客户端安全性如此重要，客户端在接受服务器信息，选择性的执行相关内容。这样就可以使防御XSS攻击变得容易，该模型主要由三大部分组成：1）对每一个网页分配独立线程且分析资源消耗的“网页线程分析模块”；2）包含分层防御策略四个规则的用户输入分析模块；3）保存互联网上有关XSS恶意网站信息的XSS信息数据库。 　　3.2 XSS防御的发展趋势 　　XSS的防御研究主要有两个方面：漏洞检测和防御方案。随着XSS攻击方式的不断演变，渗透测试人员和安全专家们也提出了各种各样的XSS防御方案。 　　趋势一：更加偏重于XSS蠕虫的检测。 　　XSS蠕虫能够与传统蠕虫病毒结合，加速传统蠕虫病毒的传播速度，所以对XSS蠕虫的研究越来越多。MPP是第一个纯客户端检测XSS蠕虫的方法，能够在XSS蠕虫爆发的初期检测出蠕虫的存在，但是MPP算法执行效率低、占用资源大、无法检测有效载荷在服务器端的XSS蠕虫。在今后的XSS发展中，XSS蠕虫的检测效果将成为衡量一个XSS检测系统的标尺。 　　趋势二：客户端防御方案成为主流。 　　尽管服务器端的防范能够彻底阻止XSS攻击，但是在短时间内要求成千上万的Web站点