qq_44232452的博客

4.11.1 基于 DOM 的跨站点脚本测试4.11.2 JavaScript 执行测试4.11.3 HTML 注入测试4.11.4 测试客户端 URL 重定向4.11.5 CSS 注入测试4.11.6 测试客户端资源操作4.11.7 测试跨源资源共享4.11.8 跨站刷写测试4.11.9 测试点击劫持4.11.10 测试 WebSocket4.11.11 测试 Web 消息传递4.11.12 测试浏览器存储4.11.13 测试跨站点脚本包含4.11.14 反向制表符测试

基于 DOM 的跨站点脚本是XSS错误的事实名称，这些错误是页面上活动浏览器端内容（通常是 JavaScript）通过源(source)获取用户输入并在接收器(sink)中使用它的结果，从而导致执行注入的代码。本文档仅讨论导致 XSS 的 JavaScript 错误。DOM 或文档对象模型是用于在浏览器中表示文档的结构格式。DOM 允许动态脚本（如 JavaScript）引用文档的组件（如表单字段或会话 Cookie）。

基于自我 DOM 的跨站点脚本是一种特定的攻击，需要具备基于 DOM 的跨站点脚本和成功的社会工程的先验知识。术语 ‘self’ 在这里指的是用户需要将有效负载注入 input 字段，从而自己执行漏洞的事实。该漏洞更具体，因为网站的内容安全策略 （CSP） 可以阻止脚本的执行。此方案将按以下方式使用术语“接收器”：在计算中，接收器、事件接收器或数据接收器是旨在接收来自另一个对象或函数的输入或事件的类或函数。因此，为了找到可能的漏洞，我们首先需要确定我们想要测试的应用程序的 sink。

JavaScript 注入漏洞是跨站点脚本 （XSS） 的一种子类型，它涉及注入由受害者浏览器中的应用程序执行的任意 JavaScript 代码的能力。此漏洞可能会产生许多后果，例如泄露可用于冒充受害者的用户会话 Cookie，或者更普遍地说，它可能允许攻击者修改受害者看到的页面内容或应用程序的行为。当应用程序缺少适当的用户提供的输入和输出验证时，可能会出现 JavaScript 注入漏洞。由于 JavaScript 用于动态填充网页，因此此注入发生在此内容处理阶段，因此会影响受害者。

HTML 注入是一种注入漏洞，当用户能够控制输入点并能够将任意 HTML 代码注入到易受攻击的网页中时，就会出现这种漏洞。此漏洞可能会产生许多后果，例如泄露可用于冒充受害者的用户会话 Cookie，或者更普遍地说，它可能允许攻击者修改受害者看到的页面内容。当用户输入未正确清理且输出未编码时，会出现此漏洞。注入允许攻击者向受害者发送恶意 HTML 页面。目标浏览器将无法区分（信任）页面的合法部分和恶意部分，因此将在受害者的上下文中解析和执行整个页面。有多种方法和属性可用于呈现 HTML 内容。

本节介绍如何检查客户端 URL 重定向，也称为开放重定向。当应用程序接受用户控制的输入时，存在一个输入验证缺陷，该输入指定一个链接，该链接指向可能是恶意的外部 URL。此类漏洞可用于完成网络钓鱼攻击或将受害者重定向到感染页面。当应用程序接受包含 URL 值的不受信任的输入但不对其进行清理时，就会出现此漏洞。此 URL 值可能导致 Web 应用程序将用户重定向到另一个页面，例如由攻击者控制的恶意页面。此漏洞可能使攻击者能够成功发起网络钓鱼诈骗并窃取用户凭据。

CSS 注入漏洞涉及在受信任 Web 站点的上下文中注入任意 CSS 代码的能力，该代码在受害者的浏览器中呈现。此类漏洞的影响因提供的 CSS 负载而异。这可能会导致跨站点脚本或数据泄露。当应用程序允许用户提供的 CSS 干扰应用程序的合法样式表时，就会出现此漏洞。在 CSS 上下文中注入代码可能使攻击者能够在某些情况下执行 JavaScript，或使用能够生成 HTTP 请求的 CSS 选择器和函数提取敏感值。通常，允许用户通过提供自定义 CSS 文件来自定义页面是一个相当大的风险。

客户端资源操作漏洞是一个输入验证缺陷。当应用程序接受用户控制的输入时，会发生此错误，该输入指定资源（如 iframe 的源、JavaScript、小程序的源或 XMLHttpRequest 的处理程序）的路径。此漏洞包括控制链接到网页中存在的某些资源的 URL 的能力。该漏洞的影响各不相同，通常被用于进行 XSS 攻击。此漏洞可以通过使应用程序加载和呈现恶意对象来干扰预期的应用程序行为。以下 JavaScript 代码显示了一个可能易受攻击的脚本，攻击者能够在其中控制到达 script 元素属性src的。

跨域资源共享 （CORS） 是一种机制，它使 Web 浏览器能够以受控方式使用 XMLHttpRequest （XHR） 2 级 （L2） API 执行跨域请求。过去，XHR L1 API 只允许在同一源内发送请求，因为它受到同源策略 （SOP） 的限制。跨域请求具有一个Origin标头，用于标识发起请求的域，并始终发送到服务器。CORS 定义在 Web 浏览器和服务器之间使用的协议，以确定是否允许跨域请求。HTTP标头用于实现此目的。W3C CORS 规范。

ActionScript 基于 ECMAScript，是 Flash 应用程序在处理交互需求时使用的语言。ActionScript 语言有三个版本。ActionScript 1.0 和 ActionScript 2.0 非常相似，ActionScript 2.0 是 ActionScript 1.0 的扩展。Flash Player 9 中引入的 ActionScript 3.0 是对该语言的重写，以支持面向对象的设计。ActionScript 和其他所有语言一样，也有一些可能导致安全问题的实现模式。

点击劫持是 UI 修复的一个子集，是一种恶意技术，通过该技术，Web 用户被欺骗与用户认为他们正在交互的内容以外的内容进行交互（在大多数情况下通过单击）。这种类型的攻击，无论是单独攻击还是与其他攻击一起攻击，都可能在受害者与看似无害的网页交互时发送未经授权的命令或泄露机密信息。点击劫持一词是由 Jeremiah Grossman 和 Robert Hansen 于 2008 年创造的。

传统上，HTTP 协议只允许每个 TCP 连接一个请求/响应。异步 JavaScript 和 XML （AJAX） 允许客户端异步 （在后台） 向服务器发送和接收数据，但是，AJAX 要求客户端启动请求并等待服务器响应 （半双工）。WebSockets允许客户端或服务器创建一个“全双工”（双向）通信通道，允许客户端和服务器真正异步通信。WebSockets 通过 HTTP 进行初始升级握手，从那时起，所有通信都使用帧通过 TCP 通道进行。有关详细信息，请参阅WebSocket 协议。

Web 消息传送（也称为跨文档消息传送）允许在不同域上运行的应用程序以安全的方式进行通信。在引入 Web 消息传递之前，不同来源（iframe、选项卡和窗口之间）的通信受同源策略的限制，并由浏览器强制执行。开发人员使用多种黑客来完成这些任务，其中大多数主要是不安全的。浏览器中的此限制是为了防止恶意网站从其他 iframe、选项卡等读取机密数据;但是，在一些合法情况下，两个受信任的网站需要相互交换数据。为了满足这一需求，草案规范中引入了跨文档消息传递，并在所有主流浏览器中实现。

本地存储会话存储索引数据库Web SQL（已弃用）Cookies可以使用浏览器的开发人员工具（如或Firefox 的 Storage Inspector）查看和编辑这些存储机制。注意：虽然 cache 也是一种存储形式，但它在单独的部分中进行了介绍，涵盖了它自己的特性和关注点。

跨站点脚本包含 （XSSI） 漏洞允许敏感数据跨源或跨域边界泄漏。敏感数据可能包括与身份验证相关的数据（登录状态、Cookie、身份验证令牌、会话 ID 等）或用户的个人或敏感个人数据（电子邮件地址、电话号码、信用卡详细信息、社会保险号等）。XSSI 是一种类似于跨站点请求伪造 （CSRF） 的客户端攻击，但目的不同。

是一种可以用于将用中重定向到钓鱼页面的攻击。这通常是由于将<a>标签的target属性设置为_blank而导致的，这会导致链接在新选项卡中打开。当同一<a>标签中未使用属性时，新打开的页面可能会影响原始页面，并将其重定向到由攻击者控制的域。由于新选项卡打开时用户位于原始域上，因此他们不太可能注意到页面已更改，尤其是在网络钓鱼页面与原始域相同时。因此，在攻击者控制的域上输入的任何凭据最终都将归攻击者所有。通过JavaScript 函数打开的链接也容易受到此攻击。注意：这是一个遗留问题，不会影响。