跨站脚本攻击及防范技术的研究.docVIP

跨站脚本攻击及防范技术的研究 　　摘要：跨站脚本攻击是当前Web安全领域常用攻击手段。该文介绍了跨站脚本攻击的基本概念，揭示了跨站脚本漏洞的严重性，分析跨站脚本漏洞的触发机制，论述了两种常见跨站脚本攻击模式，展示了几种跨站脚本攻击效果。最后，分别从Web应用程序编写和客户端用户两个层次，对跨站脚本攻击的防范措施进行了阐述。 　　关键词：跨站；脚本攻击；Web安全 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)06-1234-03 　　XSS Attacks and Prevention Technology Research 　　DENG Yuan, HE Guo-hui, WU Qing 　　(PLA 61660 Unit, Beijing 100089,China) 　　Abstract: XSS attacks are a common means of attack in the field of Web security. This paper introduces the basic concepts of cross-site scripting attack, reveals the seriousness of the cross-site scripting vulnerability analysis of the trigger mechanism of the cross-site scripting vulnerabilities, discusses the two common cross-site scripting attack mode, showing the effect of several cross-site scripting attacks . Finally, the preparation of two levels and client users from the Web application, cross-site scripting attack prevention measures. 　　Key words: XSS; script attack; web security 　　脚本技术的广泛使用，使得跨站脚本漏洞在Web应用普遍存在。OWASP组织公布的数据显示，跨站脚本（Cross Site Script，简称为XSS）漏洞在10大Web应用安全风险中分别名列第4位、第l位和第2位[1]，跨站脚本攻击技术成为Web安全的研究热点。 　　1跨站脚本攻击技术 　　跨站脚本攻击是指攻击者以正常身份利用Web应用漏洞，攻击者向其提交包含恶意脚本代码的输入，由于该输入未经Web服务器严格验证，当用户访问这些恶意页面后，浏览器将自动加载并执行这些恶意脚本，完成攻击[2]。因此，跨站脚本攻击是一种间接攻击技术，不直接攻击Web服务器，而是以其为跳板攻击用户。跨站脚本中的“站”是指被利用的Web服务器[3]。 　　1.省略、ebay、Microsoft、Baidu. com、QQ空间等都曾存在跨站脚本漏洞，都曾遭受过跨站脚本攻击，著名社交网站Myspace则更是在遭受跨站脚本蠕虫攻击后20小时内感染上百万用户，最后导致网站瘫痪[4]。利用跨站脚本漏洞，攻击者可窃取用户Cookies或账户密码等隐私信息，编写可复制传播的跨站脚本蠕虫实施大规模Web攻击[5]。因此，跨站脚本漏洞是一种严重Web安全风险，需对其进行认真研究和防范。 　　1.2跨站脚本漏洞触发机制 　　执行JavaScript脚本的机制即跨站脚本漏洞的触发机制，主要有三种[6]： 　　1)直接触发：向Web页面中插入脚本标记，访问页面时即可运行JavaScript脚本； 　　2)利用HTML标签属性触发：配置href、img等HTML标签属性为JavaScript代码中的方法，载入包含该类标签页面时可执行Ja? vaScript脚本； 　　3)利用HTML事件触发：触发HTML标签中定义的鼠标事件、键盘事件时，同样可执行绑定的JavaScript代码。常用的事件属性有onClick、onMouseOver等；1.3跨站脚本攻击分类 　　攻击者可构造两类不同的攻击模式[7]：Reflection跨站脚本攻击、Stored跨站脚本攻击。 　　1.3.省略/test.asp?input=var+i= 　　new+Image;+i.src=”http://www.省略/”%2bdocument.cookie;； 　　（3）Alice点击该URL后，跨站脚本将作为HTTP请求参数提交至存在跨站脚本漏洞的Web服务器； 　　（4）Web服务器