十二问让你全面了解跨站脚本攻击
来源：asp之家 发布时间：2009-12-24 16:27:00
作为网站的业务管理者，在欣赏自己为客户提供的丰富业务和趣味性体验时，你是否曾经想过网站会成为攻击者攻击第三方的媒介，从而导致公信度大为受损？作为一个网站的访客，你是否曾经想过在访问这个自己再熟悉不过的网站时，你的私密信息已经被他人窃取？
这些都与跨站脚本攻击有关。下面让我们详细了解这类攻击。
Q1：什么是跨站脚本？
跨站脚本（Cross-site scripting，简称XSS），是一种迫使Web站点回显可执行代码的攻击技术，而这些可执行代码由攻击者提供、最终为用户浏览器加载。不同于大多数攻击（一般只涉及攻击者和受害者），XSS涉及到三方，即攻击者、客户端与网站。XSS的攻击目标是为了盗取客户端的cookie或者其他网站用于识别客户端身份的敏感信息。获取到合法用户的信息后，攻击者甚至可以假冒最终用户与网站进行交互。
XSS漏洞成因是由于 * 页的Web应用对用户提交请求参数未做充分的检查过滤，允许用户在提交的数据中掺入HTML代码（最主要的是“》”、“《”），然后未加编码地输出到第三方用户的浏览器，这些攻击者恶意提交代码会被受害用户的浏览器解释执行。
Q2：XSS缩写来源？
依照英文缩写习惯，简称跨站脚本为CSS。这样会引起它和另一个名词“层叠样式表”（Cascading Style Sheets，CSS）的混淆。此CSS非彼CSS。为了以示区别，一些安全人士就习惯将跨站脚本简称为XSS。［2］
Q3：XSS存在哪些威胁？
攻击者可以利用XSS漏洞、借助存在漏洞的Web网站攻击其他浏览相关网页的用户，窃取用户浏览会话中诸如用户名和口令（可能包含在cookie里）的敏感信息、通过插入恶意代码对用户执行挂马攻击。XSS漏洞还可能被攻击者用于网页篡改，只是多数情况为了经济利益最大化，攻击者不会直接进行篡改。
Q4：XSS漏洞的普及率有多高？
国际Web应用安全组织WASC（Web Application Security Consortium）最新数据［4］表明，采样分析了10297个网站，其中有31.47％站点存在XSS漏洞，且XSS在发现的漏洞中占到总数的41.41％，高居榜首。
图1. 最为普及的Web应用安全漏洞［4］
Q5：能否列举XSS实例？
2005年，一位叫Samy的MySpace用户自创了一种XSS蠕虫，24小时内，其网络空间朋友数目成功从73上升到1百万。［5］
2006年，PayPal遭到XSS攻击，攻击者将PayPal站点的访问者重定向到一个新的页面，上面警告用户他们的帐号已经不再安全，需要重新设置，并提示输入PayPal的登录信息、用户社保信息及信用卡信息。［6］
2008年5月，eBay承认其PayPal页面存在XSS漏洞，该漏洞会被攻击者用于盗取用户证书或cookie。［7］
0
投稿猜你喜欢
- CMS系统促进着Web2.0的发展，根据权威机构的调查，一个网站80％左右的流量都是来源于搜索引擎的，所以一个网站到底做的好与坏不在于网站建
- 在入门篇，我们学会了SQL注入的判断方法，但真正要拿到网站的保密内容，是远远不够的。接下来，我们就继续学习如何从数据库中获取想要获得的内容，
- 最近发现DEDE调用广告占用CPU过高，所以还是改为了JS调用，不得不舍弃到期自动下架的功能了。(JS也能实现过期自动更换广告功能，期待高手
前言springboot的配置文件中，配置文件的名字都有各自的意义跟用途dev 开发环境prod 生产环境(默认)test 测试环境加载指定- 上周，微软正式宣布了移动平台新品牌Windows Phone。从Windows Mobile 6.5系统开始，用该品牌取代之前的Window
- “淘宝客”是指帮助淘宝卖家推广商品赚取佣金的人（之前叫淘客）。只要获取淘宝商品的推广链接，让买家通过您的推广链接进入淘宝店铺购买商品并确认付
- 拼客（Pinker）是个地道的Chinglish(中国式英语)，Pinke即拼客一词拼音，为了让它看起来更像一个英文单词，于是加上r之后就成
- 昨天，Google黑板报贴出了《Google搜索引擎优化初学者指南》的文章，给“SEO 初学者，我应该怎样改进我的网站?
- Windows Server 2003 系统配置方案网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到
- 一、规划说明：主机A: 双网卡192.168.1.7 --> mydomain.org主域名服务器192.168.10.7 -->
- Godaddy主机用户怎样编辑新增的FTP用户呢？其实很简单的，你可以轻松地为Godaddy-Linux共享托管帐户或者运行IIS7的God
- CentOS下实现普通用户和管理团员权限的切换使用su命令实现用户属性的转换普通用户切换到root用户：方法有多重 1
- 相信读者都知道，Google对域名信任度要求越来越高，甚至高到了过分的地步。不过抱怨是没有用的，必须面对现实。从总体上来说，提高域名信任度的
- 中国的传统节日中秋节即将到来，每年农历八月十五日，是中国传统的中秋佳节，自古以来，中国人都有中秋赏月的习俗，通常要举行赏月、祭月、吃月饼、祝
- 我们经常发现一些发布商反映他们的广告代码被别人放到了他不知道的网站上。有些发布商会莫名其妙的收到我们的警告信，然后发现那个网站根本不是自己的
- 每个人都喜欢好用的技巧，对吗？这里有55个用于搜索引擎优化的小技巧，甚至你的老妈用起来都易如反掌。哦，不是我的老妈，但你明白我的意思。这意味
- 从昨晚开始,部分国内用户在访问谷歌Google页面时,发现了一些令人惊奇的现象.在搜索栏下方出现了一排动态图标,展示了谷歌中国的7款产品,包
- 网站字体的选择，对于大多数中文网站设计人员来说，根本就不是什么问题。但是放到英文站点的设计上，呵呵，问题就不少了。经常看到一些外贸网站，英文
- 6月9日消息，据国外媒体报道，微软近日表示，如果企业绕过Windows Vista，直接从Windows XP升级到Windows 7，可能
- 随着Exchange Server 2007(之前也称其为“Exchange 12”)的即将发布，其所蕴涵的强大功能也开始逐渐展现开来。作为
