为什么主流网站无法捕获 XSS 漏洞？

worldligang 发布于2019-06-21 16:29 / 2151人阅读

摘要：二十多年来，跨站脚本简称漏洞一直是主流网站的心头之痛。大多数主流网站，包括谷歌，，以及，都曾受过漏洞的影响。而且，诸如运行时应用自我保护等网关安全技术也有助于检测并防御对漏洞的攻击。

二十多年来，跨站脚本（简称 XSS）漏洞一直是主流网站的心头之痛。为什么过了这么久，这些网站还是对此类漏洞束手无策呢？

对于最近 eBay 网站曝出的跨站脚本漏洞，你有什么想法？为什么会出现这样的漏网之鱼？一个如此大规模的网站，不应该具备可靠的网关安全技术以阻止任何情况下的 XSS 攻击么？

即便从上世纪 90 年代开始，跨站脚本漏洞就已经为人们所熟知。时至今日，它仍在贻害为数不少的网站。大多数主流网站，包括谷歌，CNN，PayPal 以及 Facebook，都曾受过 XSS 漏洞的影响。该漏洞也常年出现在 CWE/SANS 前 25 个最危险的编程错误、OWASP 前 10 个最致命的 Web 应用安全风险之类的榜单。

XSS 攻击与大多数应用层攻击（诸如 SQL 注入攻击）不同，因为它攻击的是应用的用户，而非应用本身或应用服务器。这类攻击会往 Web 应用的内容中注入代码，通常是 JavaScript 之类的客户端代码。大多数网站都有许许多多的注入位置，包括搜索框、反馈表格，cookie 以及论坛等。借助 XSS 漏洞，黑客可以窃取数据，控制用户的会话，运行恶意代码，或操纵受害用户浏览器中显示的内容。

像 eBay 这样的网站，几乎完全基于用户产生的内容，通常在用户的项目描述部分包含许多活动内容（Active Content），比如 JavaScript 和 Flash。由于网站必须与用户互动，接收来自用户的输入、返回数据，这意味着，攻击者也可以直接与网站互动，从而穿破传统的外围安全防护。除非所有用户提供的内容都经过严格审查，XSS 攻击代码就有可能注入拍卖清单页面，从而影响每个访问该页面的用户。用户输入的所有内容（表单数据、cookie、邮件、文件、图片等）都应该视为不可信任，需要经历审查，删除其中可能被恶意使用的字符与字符串，才能继续执行脚本或传给数据库。

导致 eBay 这样的大网站持续受到 XSS 攻击的一大原因，是这些网站过于复杂，实时生成的网页常常会包含许多外部站点的内容。这使得测试阶段，枚举用户与应用交互的所有排列组合变得不太现实，继而导致 XSS 漏网之鱼的出现。

话虽如此，eBay 居然没有一套更为严格的代码审查流程（近几周发现了多个 XSS 漏洞），还是有些令人吃惊。用于测试 XSS 漏洞的工具其实很多，它们都能在代码上线之前有效查找漏洞。此外，开发者也可以使用安全控制库（诸如 OWASP 的企业安全 API 或微软的反跨站脚本库），而不需要自己编写验证检查。而且，诸如运行时应用自我保护（RASP）等网关安全技术也有助于检测并防御对 XSS 漏洞的攻击。因此，如此主流的一个大网站（eBay），却没能有效防御如此广为人知的安全漏洞，实在是有些让人失望。

如今，多样化的攻击手段层出不穷，传统安全解决方案越来越难以应对网络安全攻击。OneRASP 实时应用自我保护技术,可以为软件产品提供精准的实时保护，使其免受漏洞所累。想阅读更多技术文章，请访问 [OneAPM 官方技术博客]。

本文转自 OneAPM 官方博客

云服务器 GPU云服务器 XSS漏洞 xss漏洞修复 dvwa漏洞 xss存储型主流云服务器什么牌子好

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/11189.html

【Step-By-Step】一周面试题深入解析 / 周刊 03

摘要：禁止内联脚本执行规则较严格，目前发现使用。合理使用上报可以及时发现，利于尽快修复问题。因为事件会从目标元素一层层冒泡至对象。允许给一个事件注册多个监听。表示在捕获阶段触发，表示在冒泡阶段触发。关于【Step-By-Step】 Step-By-Step (点击进入项目) 是我于 2019-05-20 开始的一个项目，每个工作日发布一道面试题。每个周末我会仔细阅读大家的答案，整理最一份...

hedge_hog 2019-08-23 18:02 评论0 收藏0
前端安全系列：XSS篇

摘要：系列文章前端安全系列篇前端安全系列篇攻击全称跨站脚本攻击，为不和层叠样式表的缩写混淆，故将跨站脚本攻击缩写为，是一种在应用中的计算机安全漏洞，它允许恶意用户将代码植入到提供给其它用户使用的页面中。系列文章: 前端安全系列：XSS篇前端安全系列：CSRF篇 XSS攻击全称跨站脚本攻击，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻...

xiaolinbang 2019-08-26 10:35 评论0 收藏0
“以假乱真” 网络钓鱼活动巧妙使用 UPS.com XSS 漏洞分发恶意软件

摘要：此漏洞允许威胁行为者通过远程工作人员分发恶意文档，但使其看起来像是直接从下载的。目前显示，的跨站漏洞已经修复。而以上钓鱼攻击利用的是中第二普遍的安全问题，存在于近三分之二的应用中。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px;overflow-x:hidde...

KoreyLee 2021-08-27 16:26 评论0 收藏0