XSS漏洞课程作业

最新推荐文章于 2026-08-18 14:51:14 发布

原创最新推荐文章于 2026-08-18 14:51:14 发布 · 764 阅读

12 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

收录于

作业

一、XSS 漏洞的本质与危害

XSS是一种注入式攻击，攻击者通过诱导用户在已信任的网站中执行恶意脚本，从而窃取敏感信息如 Cookie、会话令牌、篡改页面内容或执行其他恶意操作。其核心危害在于：

破坏信任边界：利用用户对目标网站的信任，绕过同源策略
数据泄露风险：可窃取用户身份凭证、个人信息等
社会工程跳板：结合钓鱼攻击，扩大危害范围
持久化威胁：存储型 XSS 可长期影响所有访问者

二、三大类型的技术对比与实战案例

1. 反射型 XSS

原理：攻击者构造含恶意脚本的 URL，用户点击后服务器将脚本 “反射” 到响应页面中执行。
技术特征：

非持久化：仅存在于单次 HTTP 请求中
依赖用户交互：需诱使用户点击特制 URL
服务器直接参与：漏洞点通常在服务器端输出逻辑

攻击流程示例：

1. 攻击者发送URL：http://example.com/search?keyword=<script>stealCookie()</script>
2. 用户点击URL，请求到达服务器
3. 服务器未过滤直接返回：<p>搜索结果：<script>stealCookie()</script></p>
4. 用户浏览器执行恶意脚本

典型场景：

搜索框结果页（如百度搜索注入）
错误提示页面（如 404 错误中的参数显示）
重定向功能（如 URL 参数作为跳转目标）

实战案例：

2018 年某电商平台搜索功能漏洞，攻击者通过构造搜索关键词注入脚本，导致用户支付信息泄露
某政务网站反馈表单未过滤，利用错误提示页反射 XSS 窃取管理员会话

2. DOM 型 XSS

原理：前端 JavaScript 处理不可信数据时，直接修改 DOM 结构导致脚本执行，整个过程不涉及服务器端。
技术特征：

纯客户端漏洞：服务器响应正常，但前端代码存在安全隐患
隐蔽性更强：URL 参数可能经过编码，不易被防火墙检测
依赖特定 JavaScript API：如 innerHTML、eval()、document.write()

攻击流程示例：

// 前端漏洞代码
let hash = window.location.hash.substring(1); // 获取URL中的#后面的内容
document.getElementById("content").innerHTML = hash; // 直接插入DOM

// 攻击URL：http://example.com/#<script>alert(document.cookie)</script>

典型场景：

单页应用（SPA）的路由参数处理
基于 URL hash 的页面交互
动态加载的广告或第三方内容

实战案例：

2020 年某知名社交平台动态加载评论区时，未过滤用户输入的表情符号，导致 DOM 型 XSS
某银行移动端网页使用 eval() 解析 URL 参数，攻击者通过构造特殊 URL 执行任意 JS 代码

3. 存储型 XSS

原理：攻击者提交的恶意脚本被永久存储在服务器（如数据库、文件系统），所有访问相关页面的用户都会执行该脚本。
技术特征：

持久化威胁：一次注入，多次触发
危害范围广：影响所有可访问该内容的用户
通常需要权限：需利用网站允许用户输入的功能

攻击流程示例：

1. 攻击者在论坛评论区提交：<svg onload="stealCookie()">
2. 服务器将评论存入数据库
3. 其他用户访问该帖子时，服务器从数据库读取并渲染评论
4. 所有访问者浏览器执行恶意脚本

典型场景：

社交平台评论区 / 私信功能
论坛发帖 / 回复
用户个人资料（如头像 URL、签名档）
客服聊天记录

实战案例：

2017 年某知名博客平台允许用户自定义 HTML 模板，攻击者通过注入恶意脚本获取管理员权限
某医疗系统允许患者上传个人备注，攻击者利用此功能注入脚本，窃取医生登录凭证

三、防御体系的构建与最佳实践

1. 输入层：严格过滤与验证

白名单机制：仅允许合法字符，拒绝一切可疑输入

# Python示例：只允许字母数字和空格
import re
def sanitize_input(text):
    return re.sub(r'[^a-zA-Z0-9\s]', '', text)

特殊字符转义：将危险字符转换为 HTML 实体

// JavaScript示例：转义HTML特殊字符
function escapeHTML(str) {
    return str
        .replace(/&/g, '&amp;')
        .replace(/</g, '&lt;')
        .replace(/>/g, '&gt;')
        .replace(/"/g, '&quot;')
        .replace(/'/g, '&#039;');
}

内容类型验证：对上传文件检查 MIME 类型，防止 JS 伪装成图片

2. 输出层：上下文感知编码

根据输出位置选择编码方式：

输出上下文	编码方法	示例
HTML 标签内容	HTML 实体编码	`<p>用户输入: {escapeHTML(input)}</p>`
HTML 属性值	HTML 属性编码	`<input value="{escapeAttr(input)}">`
JavaScript	JSON.stringify 或 JS 编码	`let data = {jsonEncode(input)};`
CSS	CSS 值编码	`element.style.color = '{cssEscape(input)}';`

3. 安全机制强化

CSP：

- 限制页面可加载的资源来源
- 防止内联脚本执行（除非明确允许）
- 结合 nonce 或 hash 值允许特定脚本执行
HttpOnly 与 Secure Cookie：

python
# Django示例：设置安全Cookie
response.set_cookie(
    'sessionid', 
    session_key, 
    httponly=True,  # 防止JS访问Cookie
    secure=True,    # 仅通过HTTPS传输
    samesite='Lax'  # 防止CSRF攻击
)

输入长度限制：对所有用户输入字段设置最大长度，防止缓冲区溢出

4. 开发阶段防护

安全编码规范：
- 禁止使用 eval()、document.write() 等危险函数
- 使用 textContent 替代 innerHTML
- 对第三方库进行安全审计
自动化测试：
- 使用 OWASP ZAP、Burp Suite 等工具进行漏洞扫描
- 编写单元测试覆盖 XSS 防护逻辑

// Jest测试示例：验证XSS过滤
test('should escape XSS payload', () => {
    const payload = '<script>alert(1)</script>';
    const escaped = escapeHTML(payload);
    expect(escaped).toBe('&lt;script&gt;alert(1)&lt;/script&gt;');
});