返回列表

XSS攻击和HTML特殊字符编码

默认分类 2014/11/04 03:06

处理函数如下:

window.hui = {util:{}};
hui.util.encodehtml = function(str){
    str = String(str)
    .replace(/&/g, '&')
    .replace(/\</g, '&lt;')
    .replace(/\>/g, '&gt;')
    .replace(/[ ]/g, '&nbsp;')
    .replace(/\'/g, '&apos;')
    .replace(/\"/g, '&quot;')
    .replace(/\\/g, '&#92;');
    return str;
};

过滤"<"和">"标记XSS跨站攻击的最终目标是引入script代码在用户的浏览器中执行,所以最基本最简单的过滤方法,就是转换"<"和’>"标记。

replace(str, "<", "&lt;")    
replace(str, ">", "&gt;")    

HTML属性过滤

使用上述的代码可以过滤掉"<"和">"标记,让攻击者无法构造HTML标记。但是,攻击者可能会利用已存在的属性,如插入图片功能,将图片的路径属性修改为一段script代码,如

<img src="javascript:alert(/XSS攻击/)" width=100>    

上述代码执行后,同样可以实现跨站的目的。而且很多的HTML标记里属性都支持“javascript:跨站代码"的形式,因此就需要对攻击者输入的数据进行如下转换:

replace(str, "javascript:", "")    
replace(str, "jscript:", "")    
replace(str, "vbscript:", "")    

一旦用户输入的语句中含有"javascript","jscript","vbscript",都用空白代替。
过滤特殊字符:&、回车和空格
因为HTML属性的值,可支持"&#ASCii"的形式进行表示,前面的跨站代码就可以换成这样:

<img src="javascript:alert(/XSS攻击/)" width=100>    

即可突破过滤程序,继续进行跨站攻击,使用代码:

replace(str, "&", "&amp;")    

上述代码将"&"替换为了"&",于是后面的语句就变形失效了。但是还有其他的方式绕过过滤,因为过滤关键字的方式具有很多的漏洞。攻击者可以构造下面的攻击代码:

<img src="javas cript:alert(/XSS攻击/)" width=100>    

这里关键字被空格,准确的说是Tab键进行了拆分,上面的代码就又失效了,这样就有考虑将Tab空格过滤,防止此类的跨站攻击。

HTML属性跨站的彻底防范

即使程序设计者彻底过滤了各种危险字符,确实给攻击者进行跨站入侵带来了麻烦,攻击者依然可以利用程序的缺陷进行攻击,因为攻击者可以利用前面说的属性和事件机制,构造执行script代码。例如,有下面这样一个图片标记代码:

<img src="#" onerror=alert(/跨站/)>    

这是一个利用onerror事件的典型跨站攻击示例,于是许多程序设计者对此事件进行了过滤,一旦发现关键字"onerror",就进行转换过滤。
然而攻击者可以利用的时间跨站方法,并不只有onerror一种,各种各样的属性都可以进行构造跨站攻击。例如:

<img src="#" style="Xss:expression(alert(/跨站/));">    

这样的事件属性,同样是可以实现跨站攻击的。可以注意到,在“src="#""和“style"之间有一个空格,也就是说属性之间需要空格分隔,于是程序设计者可能对空格进行过滤,以防范此类的攻击。但是过滤了空格之后,同样可以被攻击者突破。

<img src="#"/**/onerror=alert(/跨站/) width=100>    

这段代码利用了脚本语言的规则漏洞,在脚本语言中的注释会被当成一个空白来表示。所以注释代码就简介的达到了空格的效果,使语句得以执行。

注意事项

攻击者可以利用前面说的属性和事件机制,构造执行script代码