xss攻击防御技术白皮书

《xss攻击防御技术白皮书》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、XSS攻击防御技术白皮书北京启明星辰信息安全技术有限公司产品管理中心威胁检测产品部北京启明星辰信息安全技术有限公司二零壹零年1)1天清入侵防御产品XSS攻击防御白皮书文档信息本文档是天清入侵防御系统的XSS攻击防御专项技术白皮书目的帮组用户了解XSS的相关知识和防御措施范围部分公开，面对启明星辰公司用户版本说明V1.0i北京启明星辰信息安全技术有限公司深层防御精确阻断http://www.venustech.com.cn天清入侵防御产品XSS攻击防御白皮书目录文档信息i目的i范围i版本说明i1背景知识11.1什么是XSS攻击11.2XSS漏洞的分类2

2、2XSS攻击防御32.1XSS的传统防御技术32.1.1基于特征的防御32.1.2基于代码修改的防御42.2天清入侵检测产品的XSS防御43综论56北京启明星辰信息安全技术有限公司深层防御精确阻断http://www.venustech.com.cn天清入侵防御产品XSS攻击防御白皮书1背景知识1.1什么是XSS攻击XSS攻击：跨站脚本攻击（CrossSiteScripting），为不和层叠样式表(CascadingStyleSheets,CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意

3、web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略（sameoriginpolicy）。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。数据来源：2007OWASPTop10的MITRE数据注：OWASP是世界上最知名的Web安全与数据库安全研究组织从这张图中我们看到，在2007年OWASP所统计的所有安

4、全威胁中，跨站脚本攻击占到了22%，高居所有Web威胁之首。XSS攻击的危害包括　　1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号　　2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力　　3、盗窃企业重要的具有商业价值的资料　　4、非法转账　　5、强制发送电子邮件6北京启明星辰信息安全技术有限公司深层防御精确阻断http://www.venustech.com.cn天清入侵防御产品XSS攻击防御白皮书　　6、网站挂马　　7、控制受害者机器向其它网站发起攻击1.1XSS漏洞的分类XSS漏洞按照攻击利用手法的不同，有以下三

5、种类型：类型A，本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。其攻击过程如下所示：Alice给Bob发送一个恶意构造了Web的URL。Bob点击并查看了这个URL。恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。具有漏洞的HTML页面包含了在Bob电脑本地域执行的JavaScript。Alice的恶意脚本可以在Bob的电脑上执行Bob所持有的权限下的命令。类型B，反射式漏洞，这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未

6、经HTML实体编码，客户端代码便能够注入到动态页面中。其攻击过程如下：Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点运行Alice使用用户名/密码进行登录，并存储敏感信息（比如银行帐户信息）。Charly发现Bob的站点包含反射性的XSS漏洞。Charly编写一个利用漏洞的URL，并将其冒充为来自Bob的邮件发送给Alice。Alice在登录到Bob的站点后，浏览Charly提供的URL。嵌入到URL中的恶意脚本在Alice的浏览器中执行，就像它直接来自Bob的服务器一样。此脚本盗窃敏感信息（授权、信用卡、帐号信息等）然后在Alice

7、完全不知情的情况下将这些信息发送到Charly的Web站点。类型C，存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。其攻击过程如下：Bob拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。Charly注意到Bob的站点具有类型C的XXS漏洞。6北京启明星辰信息安全技术有限公司深层防御精确阻断http://www.venustech.com.cn天清入侵防御产品XSS攻击防御白皮书Charly发布一

8、个热点信息，吸引其它用户纷纷阅读。Bob或者是任何的其他人如Alice浏览该信息，其会话cookies或者其