360鹰眼-更智能的Web安全监控系统

产品描述:

下一代web漏洞扫描器,她是一款硬件,包含:最全面的"爬出"引擎,不再需要收集资产清单,不再需要指定扫描时间,同步发现新上线业务漏洞

适用对象:

企业

价格服务:

目录价19.8万起
我了解,我要试用
高危高危

跨站脚本攻击漏洞

WASC Threat Classification

发现时间:

漏洞类型:

跨站脚本攻击(XSS)

所属建站程序:

其他

所属服务器类型:

通用

所属编程语言:

其他

描述:

跨站脚本攻击漏洞,英文名称Cross Site Scripting,简称CSS又叫XSSWeb 站点中的脚本不预先加以清理直接将用户输入(通常是参数值)返回, 当在响应页面中返回用户输入的 JavaScript 代码时,浏览器便会执行该代码。攻击者往往利用该原理向网页中插入恶意代码,并生成恶意链接诱使用户点击。当用户点击该连接时,便会生成对 Web 站点的请求,其中的参数值含有恶意的 JavaScript 代码。 如果 Web 站点将这个参数值嵌入在响应的 HTML 页面中(这正是站点问题的本质所在),恶意代码便会在用户浏览器中运行,达到攻击者的目的。

危害:

Web 站点中所包含的脚本直接将用户在 HTML 页面中的输入(通常是参数值)返回,而不预先加以清理。 如果脚本在响应页面中返回由 JavaScript 代码组成的输入,浏览器便可以执行此输入。 因此,有可能形成指向站点的若干链接,且其中一个参数包含恶意的 JavaScript 代码。 该代码将在站点上下文中(由用户浏览器)执行,这使得该代码有权访问用户在该站点中具有访问权的 cookie,以及站点中其他可通过用户浏览器访问的窗口。

攻击依照下列方式继续进行:攻击者诱惑合法用户单击攻击者生成的链接。 用户单击该链接时,便会生成对于 Web 站点的请求,其中的参数值含有恶意的 JavaScript 代码。 如果 Web 站点将这个参数值嵌入在响应的 HTML 页面中(这正是站点问题的本质所在),恶意代码便会在用户浏览器中运行。

解决方案:

方案一:

1.      过滤用户输入的内容,检查用户输入的内容中是否有非法内容。如<>(尖括号)、"(引号)、 '(单引号)、%(百分比符号)、;(分号)、()(括号)、&& 符号)、+(加号)等。

2.      严格控制输出

可以利用下面这些函数对出现xss漏洞的参数进行过滤

1htmlspecialchars() 函数,用于转义处理在页面上显示的文本。

2htmlentities() 函数,用于转义处理在页面上显示的文本。

3strip_tags() 函数,过滤掉输入、输出里面的恶意标签。

4header() 函数,使用header("Content-type:application/json"); 用于控制 json 数据的头部,不用于浏览。

5urlencode() 函数,用于输出处理字符型参数带入页面链接中。

6intval() 函数用于处理数值型参数输出页面中。

7、自定义函数,在大多情况下,要使用一些常用的 html 标签,以美化页面显示,如留言、小纸条。那么在这样的情况下,要采用白名单的方法使用合法的标签显示,过滤掉非法的字符。

各语言示例:

  PHPhtmlentities()或是htmlspecialchars()
   Pythoncgi.escape()
   ASPServer.HTMLEncode()
   ASP.NETServer.HtmlEncode()或功能更强的Microsoft Anti-Cross Site Scripting Library
   Javaxssprotect(Open Source Library)
   Node.jsnode-validator

方案二:使用开源的漏洞修复插件。( 需要站长懂得编程并且能够修改服务器代码

具体可以参考:http://webscan.360.cn/group/topic/tid/4571

如果你的网站服务器是Windows系统,建议使用"主机卫士"修复漏洞,点击下载
对该漏洞进行评论