1. 极安网首页
  2. 网络安全技术

跨站脚本攻击:如何防止XSS漏洞?

XSS攻击可用于获得对特权信息的访问,本文讲的就是应对它们的方法。美国国土安全部(Department of Homeland Security)目前向联邦机构发出警告,要警惕一种特别具有攻击性的网络攻击形式——跨站脚本攻击(XSS)。

跨站脚本攻击:如何防止XSS漏洞?-极安网

美国国土安全部警告说:

“这种攻击允许攻击者冒充受害者进入网站,这些漏洞可能会允许攻击者不仅窃取cookie,还可以记录键盘敲击、捕捉屏幕截图、发现和收集网络信息,以及远程访问和控制受害者的设备。”

Barracuda Networks高级安全研究员乔纳森•坦纳(Jonathan Tanner)表示:

“考虑到其数字资产的高价值,联邦机构的风险可能尤其大。有了联邦机构,就可以访问特权信息和特权基础设施,这对攻击者来说是非常有利可图的。无论是攻击投票系统,还是只是扰乱政府事务,这些都可能是非常强烈的攻击动机。”

什么是跨站脚本攻击?

跨站脚本攻击包括恶意参与者通过网站插入秘密代码来针对受害者,CrowdStrike情报部门高级副总裁亚当•迈耶斯(Adam Meyers)表示:“这种攻击有几种方式,但基本上攻击者会向网站数据库注入恶意脚本,让浏览该网站浏览器的用户执行该脚本。”

作为一种客户端代码注入攻击,XSS允许攻击者通过受害者的web浏览器执行恶意操作。政府机构的web页面或web应用程序本质上成为了传播恶意脚本的工具。当受害者访问web页面或web应用程序时,代码就会被执行。

跨站脚本攻击是如何发生的?

尽管存在几种形式的XSS攻击,但所有攻击的结果本质上都是一样的:在用户的浏览器中执行恶意代码。

通常,当用户与web应用程序或网站交互时,数据会在客户端和网站或应用程序前端之间来回发送。其中可能大多是无害的数据,可随意浏览,或者应用程序中可能有某些页面或输入从用户那里收集数据。

XSS利用这些输入插入其恶意指令,就拿一个简单的博客或论坛来说吧。一般来说,作者会在网站上发布一篇博文,其他用户可以对其进行评论。这些评论是通过一个带有提交按钮的自由格式的文本框收集的。

在后台,应用程序正在从这些输入字段中收集数据:姓名、电子邮件地址、评论。那是什么阻止人们在文本框中放入其他东西并传播回web应用程序?可能什么都没有。在这种情况下,可以利用站点本身来执行跨站脚本攻击。

什么是Cookie窃取?

Cookie窃取是跨站脚本攻击工具库中的一种工具,它利用存储在用户Web浏览器缓存中的信息来识别特定连接或会话中的用户。

如果攻击者可以窃取用户的cookie,那么攻击者就可以冒充终端用户,在XSS漏洞中,如果攻击者可以窃取用户的cookie,就可以变成用户或者冒充用户。攻击者可以更改用户的密码、更改用户的备份邮箱,从而接管整个账户。

这样的攻击可能允许恶意攻击者获取秘钥来窃取用户名和密码。如果该用户拥有政府网络的管理证书,潜在的危害可能呈指数级上升。

XSS攻击与跨站请求伪造攻击的区别?

跨站请求伪造攻击是XSS方法的变体,它迫使终端用户执行不希望的操作。例如,攻击者可能诱骗web应用程序的用户更改电子邮件地址或转移资金。

使用XSS,它攻击用户,改变页面显示内容或页面在浏览器中的呈现方式,准确的说,它利用了用户对网站的信任。

在跨站请求伪造中,它伪装成是用户,以利用web服务器对用户的信任。如果用户对web页面进行身份验证,服务器就知道你已登录。然后,攻击者使用该令牌代表用户发出请求,通常是在他们不知情的情况下,他们可以更改用户可能更改的任何内容。

如何检测跨站脚本攻击

众所周知,XSS攻击很难被检测到,因为浏览器无法区分合法和非法行为。

只有在受到攻击后,研究人员蔡可以对代码进行漏洞扫描,以确保没有遗漏任何东西。目前有许多免费和付费资源可以执行此操作,以寻找这些特定类型的攻击或可能容易受到此类攻击的领域。

Web应用程序过滤工具也提供了一些保护,当服务器检测到攻击的有效载荷时,就是检测正在进行中的攻击的良好机制。Web应用程序过滤器将寻找具有特定上下文的请求,这些请求反映了XSS攻击。这可以归结为异常检测,研究人员也可以通过一个集成了检测威胁的日志产品来实现。

不过,专家表示,总体而言,防御XSS攻击的最佳方法是预防而不是检测。

跨站脚本预防技巧

确保你的浏览器已打补丁,确保你在完成所做的工作后退出站点。这确保了cookie不再有效,请谨慎考虑您访问的网站。另一个好的策略是使用多个浏览器:将一个用于受信任的站点,将另一个用于不受信任的站点。

从较高的层次上来说,可以考虑其开发流程,构建安全措施来保护应用程序和网站免受此类攻击。XSS很容易被预防,但是如果没有安全原则作为开发设计的基础,那么事后使用安全保护措施时,它就会被忽略。

最简单的方法是安装过滤器,当用户添加输入时,使其合理,比如电话号码应该是电话号码,日期应该是日期,而不是一段Java脚本。请确保如果你的应用程序要求输入名字,那么该名字就不应是活动内容,并在将其显示给用户之前对其进行编码。这样,攻击者就无法利用纯文本发起攻击了。不过这么高级的方法在很大程度上取决于开发人员的技能水平。

原创文章,作者: Admin ,转载请注明出处:https://secvery.com/4725.html