给开发者的终极XSS防护备忘录

简介:什么是 XSS?

XSS 或者说跨站脚本是一种 Web 应用程序的漏洞，当来自用户的不可信数据被应用程序 在没有验证以及反射回浏览器而没有进行编码或转义的情况下进行了处理，导致浏览器引 擎执行了代码。

XSS 类型

• 反射型 XSS

• 存储型 XSS

• DOM XSS

• 突变 XSS

反射型 XSS

反射或者非持久型XSS是当不可信的用户输入被服务器在没有任何验证下处理并在没有编 码或转义的情况下反射回响应文中，导致代码在浏览器执行的一种 XSS 漏洞。

存储型 XSS

存储或持久型XSS是当不可信的用户输入被处理并在没有任何验证的情况下保存在文件或 数据库，同时该不可信的数据从存储中被获取然后在没有编码或转义的情况下反射回响应 文中，导致了永久性的每次存储数据反射回响应文代码就会在浏览器中执行的一种XSS漏 洞。

DOM XSS

DOM XSS 是客户端 XSS 的一种形式，数据来源在 DOM 中，接收器也在 DOM 中，而数 据流从来没有离开浏览器。它发生在一个不可信的数据在源中被给予并被执行，结果导致 修改了 DOM 在浏览器中的“环境”。DOM XSS 攻击发生在不可信数据相对于上下文没 有被编码或转义的情况下。

突变 XSS

mXSS 或突变 XSS 是当不可信数据在 DOM 的 innerHTML 属性的上下文被处理并通过浏 览器发生突变，导致变成一种有效的 XSS 向量的一种 XSS 漏洞。在 mXSS，一个看起来 无害的可以通过客户端或服务端XSS过滤器的用户指定的数据通过浏览器执行引擎发生突 变可以反射回一个有效的 XSS 向量。XSS 过滤器不能防止 mXSS。为了防止 mXSS，应实 施有效的 CSP，框架应该不被允许，HTML 文档应该定义文档类型，强制浏览器遵循标准 呈现内容以及执行脚本。

XSS 防护

如果你可以使得一个 Web 应用程序满足以下规则，XSS 可以被减少。

1、验证输入并且基于语境和按照正确的顺序转义不可信数据

输入验证

所有不可信数据应该针对 Web 应用程序的逻辑在处理和存储前进行验证。

浏览器解析顺序

浏览器解码顺序

解码和解析顺序意味着很多东西。如果对不可信数据的编码或解码以错误的顺序或错误的 环境，将再次有机会导致 XSS 漏洞的发生。编码或者转义对不同的环境要求不同。这些 编码的顺序应该取决于应用程序的逻辑。

一个典型的不可信数据可以反射在 HTML，HTML 属性，脚本变量，脚本块，含状态传 输的参数，URL、风格等中。不同的转义方法为了确保 XSS 的防护必须要在不同的环境 中实现。

顺序和上下文相关转义

1、HTML 中的字符串

对 HTML 中不可信字符串进行 HTML 转义。

Example:

<h1> Welcome html_escape(untrusted string) </html>

符号	编码
&	&
<
>
"
`
'
/