应用研究
XSS攻击分析与防御机制研究
张大卫1解永刚2杨亚彪1何红玲3
3.昆明学院信息技术学院云南明650214)
热事热与度人
摘要：XSS(跨站脚本)漏洞是一种Web应用程序安全漏润，常被黑客用来对Web用户发起攻击。本文主要介绍了XXS漏润产生原理，分析了XXS攻击的三种类型，然后针对XSS攻击的防御方法进行了介绍，主要介绍了基于特征的防御、基于代码修改的防御和客户端分层防御三科防御方法，最后简要介绍了XSS防抑的发展趋势
关键调：XSS漏洞XSS攻击XSS攻击防御发展超势
中图分类号：TP393.08 1、引言
文献标识码：A
文章编号：1007-9416(2012)12-0040-02
<*(SSX,[Bu/I/u//du/I/Tu/,
XSS又名CSS(Cross Site Script)，即跨站脚本，为区别于缩写相同的层叠样式表(CSS)，因此命名为XSS。之所以被称为跨站脚本，是指一个Web站点可以越过安全边界线通过某些方式把其选择的代码注人到另一个有漏洞的Web站点中。当这些注人的代码作为目标站点的代码在受害者的测览器中被执行时，攻击者就能够窃取到相应的敏感数据，并可以强迫用户做一些并非用户本意的事情。XSS攻击具备隐藏性强，发起容易等特点，同时又具有快速扩散能力。
2、XSS漏洞的产生原理
HTML是一种超文本标记语言，通过将一些字符特殊地对待来区别文本和标记，例如，小于符号(<)被看作是HTML标签的开始， 之间的字符是页面的标题等等。当动态页面中插人的内容含有这些特殊字符(如<)时，用户览器会将其误认为是插人了HTML标签，当这些HTML标签引人了一段JavaScript脚本时，这些脚本程序就将会在用户浏览器中执行。所以，当这些特殊字符不能被动态页面检查或检查出现失误时，就将会产生XSS漏洞。 3、XSS攻击防御研究及发展趋势
3.1XSS防御研究
(1)基于特征的防御。XSS漏洞和著名的SQL注人漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同，这就给XSS漏洞防御带来了围难，不可能以单一特征来概括所有XSS攻击。
传统的XSS防御在进行攻击鉴别时多采用特征匹配方式，主要是针对"javascript"这个关键字进行检索，但是这种鉴别不够灵活，凡是提交的信息中各有“javascript"时，就被硬性的被判定为xSS攻击。这样的防御，攻击者只要在相关关键词和编码方式上进行避免：
1)在javascript中加入多个tab键，得到
< IMG SRC=*http://www.hackarea.com/Article/2008/ jav ascript:alert('xss')," >,
2)在javascript中加入编码字符，得到
,
3)在javascript中加人空字符，得到
< IMG SRC=*http://www,hackarea,com/Article/2008/ javas cript:alert('xss'), >;
4)在javascript中的每个字符间加人回车换行符，得到
< IMG SRC=*http://www.hackarea.com/Article/2008/
IU/I/SU/I/SU/I/BU/I/U/I/AU/I/BU/I/!
5)对"javascript：alert(xSS'")"采用完全编码，得到
< IMG SRC=http: //www.hackarea.com/Article/2008/javascr 9pt:alert 6#X#X##X#X#8X#
上述方法都可以很容易的躲避基于特征的检测。而除了会有大量的漏报外，基于特征的检测还存在大量的误报可能：在上面的例子中，对于：
"http://www.xxx.com/javascript/kkk.asp?id=2345 URL，由于包含了关键字"javascript"，也将会触发报警。(2)基于代码修改的防御。Web页面开发者在编写程序时往往
会出现一些失误和漏洞，XSS攻击正是利用了失误和漏润，因此-种比较理想的方法就是通过优化Web应用开发来减少漏洞，避免被攻击：1)用户向服务器上提交的信息要对URL和附带的的HTTP 头，POST数据等进行查询，对不是规定格式，长度的内客进行过滤。 2)实现Session标记(session tokens),CAPTCHA系统或者HTTP 引用头检查，以防功能被第三方网站所执行。3)确认接收的的内容被妥善的规范化，仅包含最小的、安全的Tag(没有javascript)，去掉任何对远程内容的引用（尤其是样式表和javascript），使用HTTP only的cookie
当然，如上操作将会降低Web业务系统的可用性，用户仅能输人少量的制定字符，人与系统间的交互被降到极致，仅适用于信息发布型站点。并且考虑到很少有Web编码人员受过正规的安全培训，很难做到完全避免页面中的XSS漏洞。
(3)客户端分层防御策略。客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端(浏览器)，这是它与其他模型最大的区别，之所以客户端安全性如此重要，客户端在接受服务器信息，选择性的执行相关内容。这样就可以使防御XSS攻击变得客易，该模型主要由三大部分组成：1) 对每一个网页分配独立线程且分析资源消耗的“网页线程分析模块"，2)包含分层防御策略四个规则的用户输人分析模块；3)保存互联网上有关XSS恶意网站信息的XSS信息数据库。
3.2XSS防御的发展趋势
XSS的防御研究主要有两个方面：漏洞检测和防御方案。随着 XSS攻击方式的不断演变，渗透测试人员和安全专家们也提出了各种各样的XSS防御方案。
趋势一：更加偏重于XSS蝎虫的检测。
XSS端虫能够与传统端虫病毒结合，加速传统蜡虫病毒的传措速度，所以对XSS螺虫的研究越来越多。MPP是第一个纯客户端检
下转第42页
作者简介：张大卫（1981一），男，云南墨江人，讲师，颈士，主要从事计算机网络和数据库研究。