网站首页  注册会员  本站免费电影 留言板  繁體中文

 

您现在的位置: 陈鹏个人网站 >> 电脑应用 >> 网络应用 >> 网络安全 >> 正文
 

|
闂傚倸鍊搁崐鎼佸磹閹间礁纾归柣鎴eГ閸婂潡鏌ㄩ弴妤€浜惧銈庝簻閸熸潙鐣疯ぐ鎺濇晪闁告侗鍨伴弫鎼佹⒒娓氣偓閳ь剛鍋涢懟顖涙櫠閹殿喚纾奸弶鍫涘妼濞搭喗顨ラ悙瀛樺磳妤犵偞甯掗埞鎴﹀醇濠靛洤鈧垶姊虹拠鍙夊攭妞ゎ偄顦叅婵☆垳鍘ч崹婵嬫煙閹规劦鍤欑紒鐘叉贡閹叉悂鎮ч崼婵呭垔闂佽桨绀侀崯鎾蓟閵娿儮鏀介柛鈩兠▍锝嗙節绾版ê澧插┑鐐诧工椤繒绱掑Ο璇差€撻梺鍛婄☉閿曘儵宕曢幘缁樷拺闁告縿鍎卞▍蹇涙煕鐎n亷宸ラ柣锝囧厴楠炲洭顢涘Ο瑙勭潖闂備礁婀遍崕銈夊垂閼稿灚缍囬柛顐犲劜椤ュ﹥銇勯幇鈺佺仾濠㈣泛瀚伴弻鐔割槹鎼淬垹娈岄梺瀹犳椤﹀灚鎱ㄩ埀顒勬煃閳轰礁鏆為柣婵囧▕濮婄粯鎷呴搹骞库偓濠囨煕閹惧绠為柟顔惧厴婵$兘鍩℃担鍝勫箞闁诲骸鍘滈崑鎾绘煕閺囥劌鍘撮柟閿嬫そ濮婂宕掑鍗烆杸缂備礁顑嗙敮锟犲极瀹ュ绫嶉柛顐ゅ枔閸樼敻姊洪崨濠傜仧闁稿﹥鐗滈埀顒佺啲閹凤拷
|
缂傚倸鍊搁崐鎼佸磹閹间礁纾归柣鎴eГ閸ゅ嫰鏌涢锝嗙闁诡垳鍋ら獮鏍庨鈧俊濂告煟椤撶噥娈滄鐐寸墪鑿愭い鎺嗗亾濠德ゅ亹缁辨帡鍩€椤掑嫬纾兼繛鎴炴皑椤旀洟姊洪悷閭﹀殶闁稿﹥鍨甸~婵堟崉閸濆嫬娈ら梺鐟板悑閻n亪宕濆澶嬪亗闊洦绋撻崣鎾绘煕閵夘喚浜介柛顐犲劚绾惧鏌熼幆褏锛嶉柡鍡畵閺屾盯濡烽姀鈩冪彇閻庤鎸风欢姘潖婵犳艾纾兼繛鍡樺焾濡差噣姊哄Ч鍥р偓鏇灻洪妶澶堚偓鍛附缁嬭鈺呮煃閸濆嫬鈧ǹ鈻撻幋锔解拺闁告挻褰冩禍婵囩箾閸欏澧电€规洖缍婂畷鎺楁倷鐎电ǹ寮抽梻浣虹帛濞叉牠宕愰崷顓涘亾濮樼偓瀚�
|
婵犵數濮烽弫鍛婃叏閻戣棄鏋侀柟闂寸绾剧粯绻涢幋娆忕仾闁稿鍊濋弻鏇熺箾瑜嶉幊搴ㄥ汲濡ゅ懏鈷戠紒瀣硶閻忛亶鏌涚€n偆銆掔紒顔肩墦瀹曟﹢顢欓悾灞藉笚闂備礁鎲$换鍌溾偓姘煎墴閸┾偓妞ゆ帊鐒﹂崐鎰偓瑙勬礃缁捇銆佸Δ鍛妞ゆ垼濮ょ€氬ジ姊洪懡銈呅㈡繛娴嬫櫇娴滅ǹ鈻庨幘宕囶槱闂侀潻瀵岄崢鍓у婵傚憡鐓犵痪鏉垮船婢т即鎮介娑氥€掔紒杈ㄥ浮瀵噣宕掑顓犱邯闁诲氦顫夊ú鏍Χ閸涘﹣绻嗛柣鎴f鍞悷婊冪箰閻g兘宕奸弴鐔叉嫽婵炶揪缍€婵倗娑甸崼鏇熺厱闁挎繂绻掗悾鍨殽閻愯尙绠婚柡浣规崌閺佹捇鏁撻敓锟�
|
闂傚倸鍊搁崐鎼佸磹妞嬪海鐭嗗〒姘e亾妤犵偞鐗犻、鏇氱秴闁搞儺鍓氶悞鑲┾偓骞垮劚閹虫劙鏁嶉悢鍏尖拺闁革富鍘奸。鍏肩節閵忊槄鑰跨€规洖缍婂畷鎺戔槈閺嶏妇鐩庨梻浣告惈缁夋煡宕濆畝鍕€跨憸鐗堝笚閻撴盯鎮楅敐搴濋偗闁告瑥瀚伴弻锛勪沪閻愵剛顦紓浣哄У缁嬫帞鎹㈠┑瀣闁靛⿵濡囪ぐ鎾⒒閸屾瑨鍏岄弸顏呫亜閹存繃顥㈡鐐村姍楠炴牗鎷呴崫銉ュ绩濠电姰鍨煎▔娑㈡晝閿曞倸姹查柨鏇炲€归悡鏇㈡煏婢跺牆鐏繛鍛缁绘盯宕奸悢鎼炰虎濠殿喖锕ㄥ▍锝夊箯閻樿绠甸柟鐑樼箓婵$兘姊绘担铏瑰笡婵☆偄绻樺畷婊堟偄閼测晛绁﹂棅顐㈡处缁嬫帡寮查幖浣圭叆闁绘洖鍊圭€氾拷
|
缂傚倸鍊搁崐鎼佸磹閹间礁纾归柟闂寸绾惧綊鏌熼梻瀵割槮缁炬儳缍婇弻鐔兼⒒鐎靛壊妲梺姹囧€ら崰妤呭Φ閸曨垰鍐€妞ゆ劦婢€缁爼姊洪幖鐐插闁稿﹤娼″璇测槈閵忊剝娅嗛柣鐘叉处瑜板啰绮昏ぐ鎺撯拺闁硅偐鍋涙俊鐣岀磼鐠囪尙澧︾€殿喖顭锋俊鍫曞炊閳哄啰鍘梺鑽ゅУ娴滀粙宕濈€n剙鍨濋柣銏犳啞閳锋垹绱掔€n偄顕滈柟鐧哥秮閺屾盯鎮╁畷鍥р拰閻庢鍠栭…鐑藉极閹剧粯鍋愰柤纰卞墻濡蹭即姊绘笟鈧ḿ褎鐏欓梺绋垮瘨閸o絽鐣烽幋锕€绠绘鐐层仒濮规姊洪崷顓炲妺闁搞劏鍩栧ḿ蹇涘醇閵夛腹鎷洪柣鐘充航閸斿苯鈻嶉幇鐗堢厵闁告垯鍊栫€氾拷
|
IT闂傚倸鍊搁崐鎼佸磹閹间礁纾瑰瀣捣閻棗銆掑锝呬壕濡ょ姷鍋為悧鐘汇€侀弴銏℃櫇闁逞屽墰婢规洝銇愰幒鎾跺幗闂佺鎻徊楣兯夋径宀€妫い鎾寸☉娴滈箖姊婚崒娆戭槮闁硅绻濆畷婵嬪即閻愬秶鍠愮换婵嬪磼濡嘲浜鹃柟鐑樻尵缁♀偓濠殿喗锕╅崢楣冨矗閸℃稒鈷戠紓浣股戠粈鈧梺绋匡工濠€閬嶅焵椤掍胶鍟查柟鍑ゆ嫹
|
闂傚倸鍊搁崐鎼佸磹妞嬪海鐭嗗ù锝夋交閼板潡姊洪鈧粔鎾磼閵娧勫枑闁哄啫鐗嗙粻鏍ㄧ箾瀹割喕绨婚幆鐔兼⒑闂堟侗妯堥柛鐘愁殘缁辩偞鎯旈姀銏㈢槇闂佹眹鍨藉ḿ褎鐗庨梻浣哄帶缂嶅﹦绮婚弽褜鍤曢柛娑橈功閻熷綊鏌嶈閸撶喎顕f繝姘嵆闁靛繒濞€閸炶泛鈹戦悩鑼粵闁告梹鐗滈悷褏绱撻崒姘偓鐑芥嚄閼搁潧鍨旀い鎾卞灩闂傤垶鏌ㄥ┑鍡╂Ц闁藉啰鍠撻埀顒€绠嶉崕閬嶆偋濠婂喚鐎堕柕濞炬櫆閳锋垿鏌涘☉姗堟敾閻忓繋鍗抽弻锝夋偄閸欏鐝氶梺闈涙缁€渚€鍩㈡惔銊ョ闁哄啫鍊瑰鎴炵節閻㈤潧浠﹂柛銊ョ埣閹兘鏁冮埀顒勫煝瀹ュ顫呴柕鍫濇閹锋椽鏌i悩鍏呰埅闁告柨鑻埢宥夊箛閻楀牏鍘甸梺鍛婂灟閸婃牜鈧熬鎷�
|
闂傚倸鍊搁崐鎼佸磹閹间礁纾归柣鎴eГ閸婂潡鏌ㄩ弴妤€浜惧銈庝簻閸熸潙鐣疯ぐ鎺濇晪闁告侗鍨伴弫鎼佹⒒娓氣偓閳ь剛鍋涢懟顖涙櫠閹殿喚纾奸弶鍫涘妼濞搭喗顨ラ悙瀛樺磳妤犵偞甯掗埞鎴﹀醇濠靛洤鈧垶姊虹拠鍙夊攭妞ゎ偄顦叅婵☆垳鍘ч崹婵堚偓鍏夊亾闁告洦鍓欐禒濂告⒑缂佹ê鐏辨俊顐㈠閹瑦绻濋崶銊у帗闂佸憡绻傜€氼剟寮搁敂鍓х<閺夊牜鍋勯惃铏圭磼鏉堛劍宕岀€规洘甯掗~婵嬵敄閽樺澹曢梺褰掓?閻掞箓宕戠€n喚鍙撻柛銉e妽閳锋劙鏌涘▎蹇曠闁哄矉缍佹慨鈧柍鎯版硾缂嶅﹪骞嗙仦杞挎棃宕ㄩ鎯у汲闂備胶绮ú鏍磹閸︻厸鍋撳鐐
|
闂傚倸鍊搁崐鎼佸磹瀹勬噴褰掑炊瑜忛弳锕傛煟閵忊懚鍦玻濡ゅ懏鐓欓柟娈垮枛椤eジ鏌涚€e墎绡€闁哄本娲樺鍕醇濠靛棗顥欐繝鐢靛仦閸ㄦ儼褰滈梺琛″亾濞寸姴顑嗛崐鐢告煥濠靛棗鏆欏┑锛勫厴閺屾稓鈧綆鍋呭畷宀€鈧娲樼敮锟犲箖濞嗘挸钃熼柕澶堝劜閺嗩亪姊婚崒娆戭槮闁圭⒈鍋勭叅闁靛ň鏅涚壕濠氭煟閹邦喖鍔嬮柛濠傜仛閵囧嫰骞掗崱妞惧闂備礁鐤囬~澶愬垂閸ф绠栨繛鍡樻尭閻顭块懜鐬垿鏁嶆笟鈧缁樻媴鐟欏嫬浠╅梺鍛婃煥闁帮絽鐣锋导鏉戝唨鐟滄粓宕甸弴鐐╂斀闁绘ê纾。鏌ユ煛閸涱喗鍊愰柡灞诲姂閹倝宕掑☉姗嗕紦
|
   
专 题 栏 目
 濠电姷鏁告慨鐑藉极閸涘﹥鍙忛柣鎴f閺嬩線鏌熼梻瀵割槮缁惧墽绮换娑㈠箣閻愬灚鍣х紓浣稿閸嬨倝寮诲☉銏犖ㄦい鏃傚帶椤晝绱撴担鎻掍壕闂佸壊鍋嗛崰鎾跺姬閳ь剟姊婚崒姘卞缂佸甯¢弫宥夊籍閸喓鍘鹃梺鍝勵槼濞夋洘绂掗姀銈嗩梿濠㈣埖鍔栭悡銉︾節闂堟稒顥為柛锝嗘そ閹綊骞囬妸銉モ拤闂侀潧娲ょ€氫即宕洪敓鐘茬闁靛ǹ鍎辩粻锝夋⒒娴g瓔鍤冮柛鐘崇洴閿濈偞寰勯幇顒傤唵闂佸憡绋掑ḿ娆愬閻樼粯鐓忓鑸得悘锝囩磼閳ь剚绻濋崟顓狅紳闂佺ǹ鏈悷褔藝閿斿浜滈柨鏃囶嚙閻忥箓鏌熼鐭亪鍩為幋鐘亾閿濆簼绨介柛娆屽亾婵犵數濮伴崹濂稿春閺嶎厼绀夐柡鍥╁Х娑撳秴鈹戦悩宕囶暡闁稿﹤鐏氱换娑㈠箣閻戝棔鐥銈呯箰濡藟濮樿埖鐓曢柟閭﹀墯閳绘洘绻涢幘鎰佺吋闁哄本娲熷畷鐓庘攽閸埄鍞洪梺璇茬凹缁插宕戦幇顔筋潟闁圭儤顨忛弫濠囨煟閿濆懏婀伴柛锛卞喚娓婚柕鍫濇缁岃法绱撳鍕槮闁伙絿鍏橀獮鍥偋閸繀绨婚梻浣瑰劤缁绘锝炴径濠庣唵闁硅揪闄勯埛鎺懨归敐鍛暈闁诡垰鐗婄换娑氫沪閸屾艾顫囬悗瑙勬磻閸楁娊鐛Ο鑲╃<婵☆垵妗ㄧ划褔姊绘担鑺ョ《闁革綇绠撻獮蹇涙晸閿燂拷
相 关 文 章

PPLive全程直播第十二届
谷歌北京奥运十二生肖系
秘籍:QQ安全防范新十二
网站设计管理与维护的十
论坛宣传网站的十二大绝
安装防火墙的十二个注意
网络防火墙的十二个注意
金山毒霸2005超级“十二
学习网上赚钱 十二条技巧
管理与维护宽带路由器的

 
十二问让你全面了解跨站脚本攻击           
十二问让你全面了解跨站脚本攻击
作者:陈鹏 文章来源:eNet 点击数:113 更新时间:2009-9-11 23:34:48
 




 

作为网站的业务管理者,在欣赏自己为客户提供的丰富业务和趣味性体验时,你是否曾经想过网站会成为攻击者攻击第三方的媒介,从而导致公信度大为受损?作为一个网站的访客,你是否曾经想过在访问这个自己再熟悉不过的网站时,你的私密信息已经被他人窃取?

这些都与跨站脚本攻击有关。下面让我们详细了解这类攻击。

Q1:什么是跨站脚本?

跨站脚本(Cross-site scripting,简称XSS),是一种迫使Web站点回显可执行代码的攻击技术,而这些可执行代码由攻击者提供、最终为用户浏览器加载。不同于大多数攻击(一般只涉及攻击者和受害者),XSS涉及到三方,即攻击者、客户端与网站。XSS的攻击目标是为了盗取客户端的cookie或者其他网站用于识别客户端身份的敏感信息。获取到合法用户的信息后,攻击者甚至可以假冒最终用户与网站进行交互。

XSS漏洞成因是由于动态网页的Web应用对用户提交请求参数未做充分的检查过滤,允许用户在提交的数据中掺入HTML代码(最主要的是“>”、“<”),然后未加编码地输出到第三方用户的浏览器,这些攻击者恶意提交代码会被受害用户的浏览器解释执行。

Q2:XSS缩写来源?

依照英文缩写习惯,简称跨站脚本为CSS。这样会引起它和另一个名词“层叠样式表”(Cascading Style Sheets,CSS)的混淆。此CSS非彼CSS。为了以示区别,一些安全人士就习惯将跨站脚本简称为XSS。[2]

Q3:XSS存在哪些威胁?

攻击者可以利用XSS漏洞、借助存在漏洞的Web网站攻击其他浏览相关网页的用户,窃取用户浏览会话中诸如用户名和口令(可能包含在cookie里)的敏感信息、通过插入恶意代码对用户执行挂马攻击。XSS漏洞还可能被攻击者用于网页篡改,只是多数情况为了经济利益最大化,攻击者不会直接进行篡改。

Q4:XSS漏洞的普及率有多高?

国际Web应用安全组织WASC(Web Application Security Consortium)最新数据[4]表明,采样分析了10297个网站,其中有31.47%站点存在XSS漏洞,且XSS在发现的漏洞中占到总数的41.41%,高居榜首。

请添加描述


图1. 最为普及的Web应用安全漏洞[4]


Q5:能否列举XSS实例?

2005年,一位叫Samy的MySpace用户自创了一种XSS蠕虫,24小时内,其网络空间朋友数目成功从73上升到1百万。[5]

2006年,PayPal遭到XSS攻击,攻击者将PayPal站点的访问者重定向到一个新的页面,上面警告用户他们的帐号已经不再安全,需要重新设置,并提示输入PayPal的登录信息、用户社保信息及信用卡信息。[6]

2008年5月,eBay承认其PayPal页面存在XSS漏洞,该漏洞会被攻击者用于盗取用户证书或cookie。[7]

Q6:攻击者如何通过XSS攻击偷取cookie?

在此,仅做举例说明,帮助读者理解XSS攻击的思路。本文中的例子来自[1]。

首先,让我们假设:存在一个网站www.vulnerableexample.com。该网站上有一个脚本welcome.cgi,参数设定为name。此脚本会读取HTTP请求的部分,然后未做任何安全性验证,就将请求内容部分或全部回显到响应页面。

通常,如果用户端发送以下请求:

GET /welcome.cgi?name=Sammi HTTP/1.0

Host: www.vulnerableexample.com

服务器将会有如下响应:

Hi Sammi
Welcome!

...

弹出Alert窗口示例

上述机制将如何为攻击者所利用呢?我们先列举一个直观的方法。通常,攻击者会应用社会工程学(Social Engineering)设法诱骗受害者点击由攻击者精心构造的链接,如发送一封标题为“免费听林肯公园北京现场演唱会”的邮件J。

攻击者构造的恶意链接如下:

http://www.vulnerableexample.com/welcome.cgi?name=

受害者一旦点击了恶意链接,会发送如下请求到www.vulnerableexample.site站点:

GET /welcome.cgi?name= HTTP/1.0

Host: www.vulnerableexample.com

...

站点将返回如下响应:

Hi

Welcome!

...

因为服务器端返回的HTML页面包含一段JavaScript代码,受害者浏览器会解释执行。这段代码被执行后,将被允许访问浏览器中属于www.vulnerableexample.com站点的cookie。此时,用户侧浏览器上会弹出一个alert窗口。

网站收集cookie示例

真实的攻击步骤中,这些cookie会被发送给攻击者。攻击者为此会搭建一个网站(我们称为www.attackerexample.com),还会应用一个脚本负责接收盗取的cookie。攻击者会写一段恶意代码,用于实现访问攻击者站点、并能调用接收cookie的脚本。最终,攻击者可以从www.attackerexample.com站点获取到cookie。

构造的恶意链接如下:

http://www.vulnerableexample.com/welcome.cgi?name=

服务器响应内容显示为:

Hi

Welcome!

...

浏览器会加载服务器端返回页面,执行内嵌的JavaScript,并发送一个请求到www.attackerexample.com站点上的collect.cgi脚本,浏览器中保存的www.vulnerableexample.com站点的cookie值也会一起发送过去。攻击者获取到客户在www.vulnerable.site站点的cookie,还可以假冒受害者。

Q7:加密是否能有效防护XSS攻击?

通常大家会认为如果网站使用了HTTPS,提供更有保障的安全,可以幸免于XSS攻击。其实这是一种误解。HTTPS仅提供传输层的安全,在应用层仍然面临XSS的威胁。[2]

Q8:XSS漏洞是否可能引起非法执行命令?

如果浏览器设置安全性不够时,XSS漏洞允许插入JavaScript,也就意味着攻击者可能获取受限的客户端执行权限。如果攻击者进而利用浏览器的漏洞,就有可能在客户端非法执行命令。简言之,XSS漏洞有助于进一步利用浏览器漏洞。[2]

Q9:从网站开发者角度,如何防护XSS攻击?

来自应用安全国际组织OWASP的建议[3],对XSS最佳的防护应该结合以下两种方法:验证所有输入数据,有效检测攻击;对所有输出数据进行适当的编码,以防止任何已成功注入的脚本在浏览器端运行。具体如下:

·输入验证:某个数据被接受为可被显示或存储之前,使用标准输入验证机制,验证所有输入数据的长度、类型、语法以及业务规则。

·强壮的输出编码:数据输出前,确保用户提交的数据已被正确进行entity编码,建议对所有字符进行编码而不仅局限于某个子集。

·明确指定输出的编码方式(如ISO 8859-1或 UTF 8):不要允许攻击者为你的用户选择编码方式。

·注意黑名单验证方式的局限性:仅仅查找或替换一些字符(如"<" ">"或类似"script"的关键字),很容易被XSS变种攻击绕过验证机制。

·警惕规范化错误:验证输入之前,必须进行解码及规范化以符合应用程序当前的内部表示方法。请确定应用程序对同一输入不做两次解码。

Q10:从网站用户角度,如何防护XSS攻击?

当你打开一封Email或附件、浏览论坛帖子时,可能恶意脚本会自动执行,因此,在做这些操作时一定要特别谨慎。建议在浏览器设置中关闭JavaScript。如果使用IE浏览器,将安全级别设置到“高”。具体可以参照浏览器安全的相关文章。[2]

这里需要再次提醒的是,XSS攻击其实伴随着社会工程学的成功应用,需要增强安全意识,只信任值得信任的站点或内容。

Q11:如果修补XSS漏洞对网站来说困难较大,不修补会怎样?

如果不能及时修补XSS漏洞,网站可能成为攻击者攻击第三方的媒介,公信度受损;网站用户成为受害者,敏感信息泄漏。现实中,确实存在某些无法修补漏洞的客观原因,如Web应用开发年代久远或者整改代码需要付出过于高昂的代价。这种情况下, 选择Web安全网关会是一种合理选择。正确应用这类安全工具,会极大缓解XSS攻击,降低安全风险。

Q12:下一代XSS会是怎样的?

随着AJAX(Asynchronous JavaScript and XML,异步JavaScript和XML)技术的普遍应用,XSS的攻击危害将被放大。使用AJAX的最大优点,就是可以不用更新整个页面来维护数据,Web应用可以更迅速地响应用户请求。AJAX会处理来自Web服务器及源自第三方的丰富信息,这对XSS攻击提供了良好的机会。AJAX应用架构会泄漏更多应用的细节,如函数和变量名称、函数参数及返回类型、数据类型及有效范围等。AJAX应用架构还有着较传统架构更多的应用输入,这就增加了可被攻击的点。


文章录入:陈鹏    责任编辑:陈鹏 
  • 上一篇文章:

  • 下一篇文章:
  • 【字体: 】【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口
     
     
     
     
     

    Copyright © 2007 - 2009 chenpeng123.com All Rights Reserved
    本站所有文章,软件等均来自网络收集,不代表本站观点,仅供学习和研究使用。如有侵犯您的版权,请联系我们,本站将立即删除。
    鲁ICP备07014697号
    你是本站第 位访客
    51La