随着Web技术的蓬勃发展,XSS跨站脚本无疑已经变成最流行和影响严重的Web安全漏洞,高防服务器并且广泛存在于各类Web系统之中。

网络上研究跨站脚本技术的人也逐渐多起来,从而催化了相关技术文章的大量涌现。具有讽刺意味的是,尽管人们已经开始关注XSS,却依然无法改变它到处泛滥的事实,这完全归结于XSS的独特之处。

      在正式探讨XSs前,我们不得不提到它的核心ー- JavascriptJava5 cript最初是打算作为ー个脚本接口,用于浏览器客户端加载的网页和服务端的应用之间,自1995年引入以来已变成Web开发中一个不可或缺的重要部分。再加上Aax等技术的日渐流行, Javascript更是给网页的开发设计带来了无限惊喜,这些技术无限地扩充了今天的网络安全领域。

      什么是XSS跨站脚本
      跨站脚本(Cros- Site Scripting,XSS)是一种经常出现在Web应用程序中的计算机安全漏洞,是由于Web应用程序对用户的输入过滤不足而产生的。攻击者利用网站漏洞把恶意的脚本代码(通常包括HTML代码和客户端 Javascript脚本)注入到网页之中,当其他用户浏览这些网页时,就会执行其中的恶意代码,对受害用户可能采取 Cookie资料窃取、会话劫持、钓鱼欺骗等各种攻击。

      由于和另一种网页技术ー一层叠样式表( Cascading Style SheetsCSS)的缩写一样,为了防止混淆,故把原本的CSS简称为XSS。

通常情况下,我们既可以把跨站脚本理解成一种Web安全漏洞,也可以理解成一种攻击手段。

      XSS跨站脚本攻击本身对Web服务器没有直接危害,它借助网站进行传播,使网站的大量用户受到攻击。攻击者一般通过留言、电子邮件或其他途径向受害者发送一个精心构造的恶意URL,当受害者在Web浏览器中打开该URL的时侯,恶意脚本会在受害者的计算机上悄悄执行,流程如图1所示。

      开放式Web应用程序安全项目( Open Web Application SecurityProject, OWASP)是世界上最知名的Web安全与数据库安全研究组织该组织分别在2007年和2010年统计过十大Web安全漏洞,如图2所示。

      从图2中我们看到,在2007年 OWASP统计的所有安全威胁中XSS跨站脚本就高居第二位。

      时至今日,XSS依然是网站漏洞中最容易出现的一种,据说在现今的各大网站中都存在此漏洞,包括 google、腾讯等大型网站都频繁出现过分别如图3和图4所示。

      为什么XSS站漏洞会如此普遍和流行?这是由多个因素造成的。

      1.Web浏览器本身的设计是不安全的。浏览器包含了解析和执行Java5 script等脚本语言的能力,这些语言可用来创建各种格式丰富的功能,而浏览器只会执行,不会判断数据和程序代码是否恶意。

      2.输入与输出是Web应用程序最基本的交互,在这过程之中若没做好安全防护,Web程序很容易会出现XSS漏洞。

      3.现在的应用程序大部分是通过团队合作完成的,程序员之间的水平参差不齐,很少有人受过正规的安全培训,因此,开发出来的产品难免存在问题。

      4.不管是开发人员还是安全工程师,很多都没有真正意识到XSs漏洞的危害,导致这类漏洞普遍受到忽视。很多企业甚至缺乏专门的安全工程师,或者不愿意在安全问题上花费更多的时间和成本。

      5.触发跨站脚本的方式非常简单,只要向HTML代码中注入脚本即可,而且执行此类攻击的手段众多,譬如利用CSs、Fash等。XSs技术的运用如此灵活多变,要做到完全防御是一件相当困难的事情。

      6.随着Web20的流行,网站上交互功能越来越丰富。Web2.0鼓励信息分享与交互,这样用户就有了更多的机会去查看和修改他人的信息,比如通过论坛、Blog或社交网络,于是黑客也就有了更广阔的空间发动XSS攻击。