《白帽子讲web安全》学习笔记（1）

xss是什么？

cross site script：跨站脚本攻击

XSS的危害

xss payload

用以完成各种具体功能的恶意脚本

cookie劫持

拿到cookie就可以模拟登录

构造get post请求

可以是异步请求，img标签，或者iframe

XSS钓鱼

如模拟一个假的登录框，骗取用户登录。

识别用户的浏览器

用于做更精准的攻击

识别用户安装的软件

如检测ActiveX的classid是否存在

flash中有一个system.capabilites对象，可以得到用户电脑的信息

FF的插件信息，直接存在在dom对象中。可以轻松获得

css history hack

发现用户曾经访问过的网站。

原理：利用style的visited属性，如果用户曾经访问过某个链接，那么颜色会不一样。

获取用户的真实IP地址

有时得到的是出口IP，或者代理服务器的IP。

可以通过Java Applet的接口获取客户端的IP

XSS worm 蠕虫

两个case: mystorm baidu

都是通过在css里添加XSS实现。

XSS的攻击技巧

利用字符编码

百度收藏的一个case

var redirectUrl = "\";alert(/XSS/);";

由于百度的页面是gbk编码，因些"%c1\"这两个字符组合在一起后，会成为一个unicode字符，在firefox下会认为这是一个字符，然后就把转义符号"\"给吃了。

如发送如下请求

　　GET: http://cang.baidu.com/do/add?it=xss&iu=%c1";alert(2)

　　就成功实施了xss攻击

使用base标签

window.name的妙用

window.name是一个神奇的东西，没有行列字符的限制，window对象是浏览器的窗体，而并非document对象。因为，它不受同源策略的限制。

apache head xss

有一个Exprect,服务器会不经过任何处理，直接写入到页面中。这样就被正常解析了。同时也也要要求head需要模拟。变得很鸡肋。

通过flash构造请求就很方便，不过目前flash已经修复，但是还是可以使用applet等第三方插件实现。

flash xss

所以一般是要禁止<embed> <object>等标签。

XSS的防御

HttpOnly

浏览器将禁止页面的Javascript访问带有HttpOnly属性的cookie.

可以只给某个cookie设置。

输入检查

白名单

输出检查

安全的函数

要注意不同场景下

HTML标签

HTML属性下

script标签

事件中

css中

地址中

innerHTML

处理富文本

使用htmlparse可以解析出html的

1. 事件严格禁止

2. 标签使用白名单

3. 尽可能禁止自定义css 与style

一个有意思的ie8的css跨域漏洞

www.a.com/test.html

<body>
 
{}body{font-family:
aaaa
 
</body>

www.b.com/teset2.html

<style>
@import url("http://www.a.com/test.html")
 
<script>
 
document.body.currentStyle.fontFamily  // 这里可以读到了。

《白帽子讲web安全》学习笔记 （1）