[TOC]

XSS 攻击

1.1 什么是 XSS

Cross-Site Scripting（跨站脚本攻击）简称 XSS，是一种代码注入攻击。攻击者通过在目标网站上注入恶意脚本，使之在用户的浏览器上运行。利用这些恶意脚本，攻击者可获取用户的敏感信息如 Cookie、SessionID 等，进而危害数据安全。

为了和 CSS 区分，这里把攻击的第一个字母改成了 X，于是叫做 XSS。

XSS 的本质是：恶意代码未经过滤，与网站正常的代码混在一起；浏览器无法分辨哪些脚本是可信的，导致恶意脚本被执行。

而由于直接在用户的终端执行，恶意代码能够直接获取用户的信息，或者利用这些信息冒充用户向网站发起攻击者定义的请求。

在部分情况下，由于输入的限制，注入的恶意脚本比较短。但可以通过引入外部的脚本，并由浏览器执行，来完成比较复杂的攻击策略。

不仅仅是业务上的“用户原创内容”可以进行注入，包括 URL 上的参数等都可以是攻击的来源。在处理输入时，以下内容都不可信：

来自用户原创内容信息(input输入框等) 来自第三方的链接 URL 参数 POST 参数 Referer （可能来自不可信的来源） Cookie （可能来自其他子域注入）

1.2 XSS 分类

类型	存储区(恶意代码存放的位置)	插入点(由谁取得恶意代码，并插入到网页上)
存储型 XSS	后端数据库	HTML
反射型 XSS	URL	HTML
DOM 型 XSS	后端数据库、前端存储、URL	前端 JavaScript

1.2.1 存储型 XSS

存储型（Persistent）XSS：攻击者将恶意代码提交到目标服务器的数据库中，当其他用户加载页面时执行。

存储型XSS示例代码：

<!-- 恶意表单提交 -->
<form action="http://example.com/save.php" method="post">
    <input type="text" name="message" value="<script>alert('XSS')</script>">
    <input type="submit" value="Submit">
</form>

存储型 XSS 的攻击步骤：

攻击者将恶意代码提交到目标网站的数据库中。
用户打开目标网站时，网站服务端将恶意代码从数据库取出，拼接在 HTML 中返回给浏览器。
用户浏览器接收到响应后解析执行，混在其中的恶意代码也被执行。
恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

这种攻击常见于带有用户保存数据的网站功能，如论坛发帖、商品评论、用户私信等。

1.2.2 反射型 XSS

反射型（Reflected）XSS：攻击者通过引诱用户点击带有恶意代码的链接或访问包含恶意代码的页面来实施攻击。

反射型XSS示例代码：

<script>
  // 假设这是从服务器获取数据并显示在页面上的JavaScript代码
  function displayMessage() {
    // 这里应该是从服务器获取数据的逻辑，但为了示例，我们直接使用URL参数
    const params = new URLSearchParams(window.location.search);
    const message = params.get('message');
    if (message) {
      document.getElementById('output').innerText = message;
    }
  }
  // 当页面加载时显示消息
  window.onload = displayMessage;
</script>
<body>
  <div id="output"></div>
  <!-- 恶意链接 -->
  <a href="http://example.com/malicious.php?message=<script>alert('XSS')</script>">点击我</a>
</body>

反射型 XSS 的攻击步骤：

攻击者构造出特殊的 URL，其中包含恶意代码。
用户打开带有恶意代码的 URL 时，网站服务端将恶意代码从 URL 中取出，拼接在 HTML 中返回给浏览器。
用户浏览器接收到响应后解析执行，混在其中的恶意代码也被执行。
恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

反射型 XSS 跟存储型 XSS 的区别是：存储型 XSS 的恶意代码存在数据库里，反射型 XSS 的恶意代码存在 URL 里。

反射型 XSS 漏洞常见于通过 URL 传递参数的功能，如网站搜索、跳转等。

由于需要用户主动打开恶意的 URL 才能生效，攻击者往往会结合多种手段诱导用户点击。

POST 的内容也可以触发反射型 XSS，只不过其触发条件比较苛刻（需要构造表单提交页面，并引导用户点击），所以非常少见。

1.2.3 DOM 型 XSS

DOM 型 XSS：攻击者通过操作DOM而无需与服务器互动来执行XSS攻击。

DOM 型 XSS 示例代码：

<script>
    var text = document.location.hash.substring(1);
    document.getElementById("div1").innerHTML = "<a href='" + text + "'>链接</a>";
</script>
<!-- 恶意URL -->
http://example.com/page.html#" onclick="alert('XSS')

DOM 型 XSS 的攻击步骤：

攻击者构造出特殊的 URL，其中包含恶意代码。
用户打开带有恶意代码的 URL。
用户浏览器接收到响应后解析执行，前端 JavaScript 取出 URL 中的恶意代码并执行。
恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

DOM 型 XSS 跟前两种 XSS 的区别：DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞，而其他两种 XSS 都属于服务端的安全漏洞。

1.3 XSS 攻击的预防

XSS 攻击有两大要素：

攻击者提交恶意代码。
浏览器执行恶意代码。

1.3.1 预防提交恶意代码

提交恶意代码是由于在浏览器端输入数据，比如评论内容、表单输入等。

前端在输入时过滤不可靠

由于攻击者可以绕过前端，直接通过API构造请求，所以前端过滤不可靠。
后端存储数据时过滤也是不可靠的

后端在写入数据库前对输入进行过滤也是不可靠的，可能会给前端造成乱码问题。

比如用户输入的5 < 7, 后端在写入数据库前转义成了5 < 7。

如果此内容被用于HTML拼接时可以正常显示：
```
<div>5 &lt; 7</div>
```
但是如果5 < 7是通过Ajax返回，然后赋值给JS变量，这个内容不能直接用于Vue等模板的展示，也不能直接用于内容长度计算，不能用于标题、alert等。

对于明确的输入类型，例如数字、URL、电话号码、邮件地址等等内容，进行输入过滤还是必要的。

1.3.2 预防浏览器执行恶意代码

防止 HTML 中出现注入。
防止 JavaScript 执行时，执行恶意代码。

1.3.3 预防存储型和反射型 XSS 攻击

存储型和反射型 XSS 都是在服务端取出恶意代码后，插入到响应 HTML 里的，攻击者刻意编写的“数据”被内嵌到“代码”中，被浏览器所执行。

预防这两种漏洞，有两种常见做法：

改成纯前端渲染，把代码和数据分隔开。
对 HTML 做充分转义。

1.3.3.1 纯前端渲染

纯前端渲染的过程：

浏览器先加载一个静态 HTML，此 HTML 中不包含任何跟业务相关的数据。
然后浏览器执行 HTML 中的 JavaScript。
JavaScript 通过 Ajax 加载业务数据，调用 DOM API 更新到页面上。

在纯前端渲染中，我们会明确的告诉浏览器：下面要设置的内容是文本（.innerText），还是属性（.setAttribute），还是样式（.style）等等。浏览器不会被轻易的被欺骗，执行预期外的代码了。

但纯前端渲染还需注意避免 DOM 型 XSS 漏洞（例如 onload 事件和 href 中的 javascript:xxx 等，请参考下文”预防 DOM 型 XSS 攻击“部分）。

在很多内部、管理系统中，采用纯前端渲染是非常合适的。但对于性能要求高，或有 SEO 需求的页面，我们仍然要面对拼接 HTML 的问题。

1.3.3.2 转义 HTML

如果拼接 HTML 是必要的，就需要采用合适的转义库，对 HTML 模板各处插入点进行充分的转义。

常用的模板引擎，如 doT.js、ejs、FreeMarker 等，对于 HTML 转义通常只有一个规则，就是把 & < > " ' / 这几个字符转义掉，确实能起到一定的 XSS 防护作用，但并不完善：

XSS 安全漏洞	简单转义是否有防护作用
HTML 标签文字内容	有
HTML 属性值	有
CSS 内联样式	无
内联 JavaScript	无
内联 JSON	无
跳转链接	无

所以要完善 XSS 防护措施，我们要使用更完善更细致的转义策略。

1.3.4 预防 DOM 型 XSS 攻击

DOM 型 XSS 攻击，实际上就是网站前端 JavaScript 代码本身不够严谨，把不可信的数据当作代码执行了。

在使用 .innerHTML、.outerHTML、document.write() 时要特别小心，不要把不可信的数据作为 HTML 插到页面上，而应尽量使用 .textContent、.setAttribute() 等。

如果用 Vue/React 技术栈，并且不使用 v-html/dangerouslySetInnerHTML 功能，就在前端 render 阶段避免 innerHTML、outerHTML 的 XSS 隐患。

DOM 中的内联事件监听器，如 location、onclick、onerror、onload、onmouseover 等，<a> 标签的 href 属性，JavaScript 的 eval()、setTimeout()、setInterval() 等，都能把字符串作为代码运行。如果不可信的数据拼接到字符串中传递给这些 API，很容易产生安全隐患，请务必避免。

<!-- 内联事件监听器中包含恶意代码 -->
![](https://awps-assets.meituan.net/mit-x/blog-images-bundle-2018b/3e724ce0.data:image/png,)

<!-- 链接内包含恶意代码 -->
<a href="UNTRUSTED">1</a>

<script>
// setTimeout()/setInterval() 中调用恶意代码
setTimeout("UNTRUSTED")
setInterval("UNTRUSTED")

// location 调用恶意代码
location.href = 'UNTRUSTED'

// eval() 中调用恶意代码
eval("UNTRUSTED")
</script>

如果项目中有用到这些的话，一定要避免在字符串中拼接不可信数据。

1.3.5 其他XSS防范措施

在渲染页面和执行JavaScript是，通过谨慎的转义可以防止XSS的发生，但完全依靠开发的谨慎仍然是不够的。下面是一些通用的方案：

1、 Content Security Policy

严格的 CSP 在 XSS 的防范中可以起到以下的作用：

禁止加载外域代码，防止复杂的攻击逻辑。
禁止外域提交，网站被攻击后，用户的数据不会泄露到外域。
禁止内联脚本执行（规则较严格，目前发现 GitHub 使用）。
禁止未授权的脚本执行（新特性，Google Map 移动版在使用）。
合理使用上报可以及时发现 XSS，利于尽快修复问题。

2、输入内容长度控制

对于不受信任的输入，都应该限定一个合理的长度。虽然无法完全防止 XSS 发生，但可以增加 XSS 攻击的难度。

3、其他安全措施

HTTP-only Cookie: 禁止 JavaScript 读取某些敏感 Cookie，攻击者完成 XSS 注入后也无法窃取此 Cookie。
验证码：防止脚本冒充用户提交危险操作。

参考资料

XSS攻击介绍：https://tech.meituan.com/2018/09/27/fe-security.html

# XSS 攻击

# 1.1 什么是 XSS

# 1.2 XSS 分类

# 1.2.1 存储型 XSS

# 1.2.2 反射型 XSS

# 1.2.3 DOM 型 XSS

# 1.3 XSS 攻击的预防

# 1.3.1 预防提交恶意代码

# 1.3.2 预防浏览器执行恶意代码

# 1.3.3 预防存储型和反射型 XSS 攻击

# 1.3.3.1 纯前端渲染

# 1.3.3.2 转义 HTML

# 1.3.4 预防 DOM 型 XSS 攻击

# 1.3.5 其他XSS防范措施

# 参考资料