不好！有敌情，遭到XSS攻击【网络安全篇】

XSS：当一个目标的站点，被我们用户去访问，在渲染HTMl的过程中，出现了没有预期到的脚本指令，然后就会执行攻击者用各种方法注入并执行的恶意脚本，这个时候就会产生XSS。

涉及方：

网页挂马是指在一个程序中利用木马生成器生成一个网码，加上一些代码，可以让木马程序再打开网页的时候就立即执行。

XSS的危害-挂马

盗取了用户的关键信息后，就可以模拟去做一些事情：包含但不局限于转账请求、恶意信息发送请求、未知文件下载请求、删除目标文章、恶意篡改数据、嫁祸。

截屏2023-03-06 21.58.35.png

指发出一个请求的时候，XSS的恶意代码出现在我们的访问链接之中，它作为一部分的数据提交到我们的服务器，服务器解析之后进行响应，代码就会随着响应传回到浏览器中。

比如我们在输入框中输入字符，并且检索，网页也会把结果返回到页面上：

截屏2023-03-06 22.19.15.png

URL里面有什么请求字符，就把请求字符反射到前端页面上：

截屏2023-03-06 22.19.50.png

如果我们把值替换成<script>标签呢?

截屏2023-03-06 22.23.12.png

<script>标签的内容就会成为网页的一部分了，浏览器看到<script>标签就会执行，弹出警示框：

截屏2023-03-06 22.23.31.png

看到这里，我们可能觉得这个小弹窗没什么的，但是真正要进行攻击的黑客只是用这个弹窗来检测网页是否有漏洞，然后再进行更深层次的攻击。

举一个最常见的评论例子：

截屏2023-03-06 22.34.08.png

当我们提交之后，信息会被保存在服务器里，也就造成了所有浏览此网页看到此评论的人都会执行此脚本，用户不知情，用户越多，中招的人数也就越多，没有乱点链接也中招，想想就可怕。

我们来分析：

URL地址#（hash）的参数不会发送给服务器
Img标签做了字符串拼接
把id为tabContent的html设置为变量名为html的值
接下来我们看有没有可以被注入的方法呢？我们可以看到chooseTab函数被注入了一个要命的值（location.hash），也就是URL上 # 的值，这也就是黑客最想找到值，黑客就可以修改 # 后面的值，从而触发 JQ 的 html() 方法
如下代码明显是执行不了src属性，就会触发onerror并执行脚本
如果这段字符被加在URL后面并执行的话
因为网页的源码同时存在可以被操作的属性和方法，导致网页文档结构被修改，页面就会触发脚本的加载

对一些敏感信息进行保护，比如 cookie 使用 http-only，使得脚本无法获取。
可以使用验证码，避免脚本伪装成用户执行一些操作。
输入处理：
- 包括用户输入、URL参数、POST请求参数
- 黑名单脚本过滤，如：<script>alert(...)</script>，标签替换，只留中间
- 白名单过滤，如：像用户名密码，正则匹配用户输入，限制输入位数，限制输入字符等
输出处理
- <script>alert(...)</script>对输出的编码做转译
- < : <
- > : &1t;
- & : &am;
- " : quot;
- ' : '
- \ : \\
- / : \/
- ; : ；
XSS拦截转换
- node