206 lines
4.5 KiB
Python
206 lines
4.5 KiB
Python
|
"""
|
|||
|
|
XSS (跨站脚本) 漏洞知识
|
|||
|
|
"""
|
|||
|
|
|
|||
|
|
from ..base import KnowledgeDocument, KnowledgeCategory
|
|||
|
|
|
|||
|
|
|
|||
|
|
XSS_REFLECTED = KnowledgeDocument(
|
|||
|
|
id="vuln_xss_reflected",
|
|||
|
|
title="Reflected XSS",
|
|||
|
|
category=KnowledgeCategory.VULNERABILITY,
|
|||
|
|
tags=["xss", "reflected", "javascript", "html", "injection"],
|
|||
|
|
severity="high",
|
|||
|
|
cwe_ids=["CWE-79"],
|
|||
|
|
owasp_ids=["A03:2021"],
|
|||
|
|
content="""
|
|||
|
|
反射型XSS：恶意脚本来自当前HTTP请求，服务器将用户输入直接反射到响应中。
|
|||
|
|
|
|||
|
|
## 危险模式
|
|||
|
|
|
|||
|
|
### Python/Flask
|
|||
|
|
```python
|
|||
|
|
# 危险 - 直接返回用户输入
|
|||
|
|
@app.route('/search')
|
|||
|
|
def search():
|
|||
|
|
query = request.args.get('q')
|
|||
|
|
return f"<h1>搜索结果: {query}</h1>"
|
|||
|
|
|
|||
|
|
# 危险 - 禁用自动转义
|
|||
|
|
return render_template_string(user_input)
|
|||
|
|
return Markup(user_input)
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
### JavaScript/Express
|
|||
|
|
```javascript
|
|||
|
|
// 危险
|
|||
|
|
res.send(`<h1>Hello ${req.query.name}</h1>`);
|
|||
|
|
res.write(req.body.content);
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
### PHP
|
|||
|
|
```php
|
|||
|
|
// 危险
|
|||
|
|
echo "Hello " . $_GET['name'];
|
|||
|
|
print($_POST['content']);
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## 攻击载荷
|
|||
|
|
```html
|
|||
|
|
<script>alert('XSS')</script>
|
|||
|
|
<img src=x onerror=alert('XSS')>
|
|||
|
|
<svg onload=alert('XSS')>
|
|||
|
|
javascript:alert('XSS')
|
|||
|
|
<body onload=alert('XSS')>
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## 安全实践
|
|||
|
|
1. 输出编码/HTML转义
|
|||
|
|
2. 使用模板引擎的自动转义
|
|||
|
|
3. Content-Type设置正确
|
|||
|
|
4. 使用CSP头
|
|||
|
|
|
|||
|
|
## 修复示例
|
|||
|
|
```python
|
|||
|
|
# 安全 - 使用escape
|
|||
|
|
from markupsafe import escape
|
|||
|
|
return f"<h1>搜索结果: {escape(query)}</h1>"
|
|||
|
|
|
|||
|
|
# 安全 - 使用模板（自动转义）
|
|||
|
|
return render_template('search.html', query=query)
|
|||
|
|
```
|
|||
|
|
""",
|
|||
|
|
)
|
|||
|
|
|
|||
|
|
|
|||
|
|
XSS_STORED = KnowledgeDocument(
|
|||
|
|
id="vuln_xss_stored",
|
|||
|
|
title="Stored XSS",
|
|||
|
|
category=KnowledgeCategory.VULNERABILITY,
|
|||
|
|
tags=["xss", "stored", "persistent", "javascript", "database"],
|
|||
|
|
severity="high",
|
|||
|
|
cwe_ids=["CWE-79"],
|
|||
|
|
owasp_ids=["A03:2021"],
|
|||
|
|
content="""
|
|||
|
|
存储型XSS：恶意脚本被存储在服务器（数据库、文件等），当其他用户访问时执行。
|
|||
|
|
|
|||
|
|
## 危险场景
|
|||
|
|
- 用户评论/留言板
|
|||
|
|
- 用户个人资料
|
|||
|
|
- 论坛帖子
|
|||
|
|
- 文件名/描述
|
|||
|
|
- 日志查看器
|
|||
|
|
|
|||
|
|
## 危险模式
|
|||
|
|
```python
|
|||
|
|
# 危险 - 存储未过滤的用户输入
|
|||
|
|
comment = request.form['comment']
|
|||
|
|
db.save_comment(comment) # 存储
|
|||
|
|
|
|||
|
|
# 危险 - 显示未转义的内容
|
|||
|
|
comments = db.get_comments()
|
|||
|
|
return render_template_string(f"<div>{comments}</div>")
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## 检测要点
|
|||
|
|
1. 追踪用户输入到数据库的流程
|
|||
|
|
2. 检查从数据库读取后的输出处理
|
|||
|
|
3. 关注富文本编辑器的处理
|
|||
|
|
4. 检查管理后台的数据展示
|
|||
|
|
|
|||
|
|
## 安全实践
|
|||
|
|
1. 输入时过滤/存储时转义
|
|||
|
|
2. 输出时始终转义
|
|||
|
|
3. 使用白名单HTML标签（如需富文本）
|
|||
|
|
4. 使用DOMPurify等库清理HTML
|
|||
|
|
|
|||
|
|
## 修复示例
|
|||
|
|
```python
|
|||
|
|
# 安全 - 使用bleach清理HTML
|
|||
|
|
import bleach
|
|||
|
|
clean_comment = bleach.clean(comment, tags=['p', 'b', 'i'])
|
|||
|
|
db.save_comment(clean_comment)
|
|||
|
|
```
|
|||
|
|
""",
|
|||
|
|
)
|
|||
|
|
|
|||
|
|
|
|||
|
|
XSS_DOM = KnowledgeDocument(
|
|||
|
|
id="vuln_xss_dom",
|
|||
|
|
title="DOM-based XSS",
|
|||
|
|
category=KnowledgeCategory.VULNERABILITY,
|
|||
|
|
tags=["xss", "dom", "javascript", "client-side"],
|
|||
|
|
severity="high",
|
|||
|
|
cwe_ids=["CWE-79"],
|
|||
|
|
owasp_ids=["A03:2021"],
|
|||
|
|
content="""
|
|||
|
|
DOM型XSS：漏洞存在于客户端JavaScript代码，通过修改DOM环境执行恶意脚本。
|
|||
|
|
|
|||
|
|
## 危险源 (Sources)
|
|||
|
|
```javascript
|
|||
|
|
// URL相关
|
|||
|
|
location.href
|
|||
|
|
location.search
|
|||
|
|
location.hash
|
|||
|
|
document.URL
|
|||
|
|
document.referrer
|
|||
|
|
|
|||
|
|
// 存储相关
|
|||
|
|
localStorage.getItem()
|
|||
|
|
sessionStorage.getItem()
|
|||
|
|
|
|||
|
|
// 消息相关
|
|||
|
|
window.postMessage
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## 危险汇 (Sinks)
|
|||
|
|
```javascript
|
|||
|
|
// 危险 - HTML注入
|
|||
|
|
element.innerHTML = userInput;
|
|||
|
|
element.outerHTML = userInput;
|
|||
|
|
document.write(userInput);
|
|||
|
|
document.writeln(userInput);
|
|||
|
|
|
|||
|
|
// 危险 - JavaScript执行
|
|||
|
|
eval(userInput);
|
|||
|
|
setTimeout(userInput, 1000);
|
|||
|
|
setInterval(userInput, 1000);
|
|||
|
|
new Function(userInput);
|
|||
|
|
|
|||
|
|
// 危险 - URL跳转
|
|||
|
|
location.href = userInput;
|
|||
|
|
location.assign(userInput);
|
|||
|
|
window.open(userInput);
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## 危险模式
|
|||
|
|
```javascript
|
|||
|
|
// 危险 - 从URL获取并直接使用
|
|||
|
|
const name = new URLSearchParams(location.search).get('name');
|
|||
|
|
document.getElementById('greeting').innerHTML = 'Hello ' + name;
|
|||
|
|
|
|||
|
|
// 危险 - hash注入
|
|||
|
|
const hash = location.hash.substring(1);
|
|||
|
|
document.getElementById('content').innerHTML = decodeURIComponent(hash);
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## 安全实践
|
|||
|
|
1. 使用textContent代替innerHTML
|
|||
|
|
2. 使用安全的DOM API
|
|||
|
|
3. 对URL参数进行验证
|
|||
|
|
4. 使用DOMPurify清理HTML
|
|||
|
|
|
|||
|
|
## 修复示例
|
|||
|
|
```javascript
|
|||
|
|
// 安全 - 使用textContent
|
|||
|
|
element.textContent = userInput;
|
|||
|
|
|
|||
|
|
// 安全 - 使用DOMPurify
|
|||
|
|
element.innerHTML = DOMPurify.sanitize(userInput);
|
|||
|
|
|
|||
|
|
// 安全 - 创建文本节点
|
|||
|
|
element.appendChild(document.createTextNode(userInput));
|
|||
|
|
```
|
|||
|
|
""",
|
|||
|
|
)
|