🚀 大家好，我是小康。

今天给大家分享一个 网络安全面试题 ：什么是 XSS 攻击，如何避免?

小技巧：在面试中，可以参考下面的示例回答，这样回答简洁明了。详细介绍部分则是为了帮助大家系统学习，以便应对面试官深入提问。

示例回答

XSS攻击（跨站脚本攻击）是一种通过在网页中注入恶意脚本来窃取用户数据或执行恶意操作的攻击方式。为了避免XSS攻击，我们可以对用户输入进行严格验证和转义，使用安全的编码函数，并配置内容安全策略（CSP），以及使用避免内联脚本的方式。

详细解释

什么是 XSS 攻击?

XSS（跨站脚本攻击，Cross-Site Scripting）是一种常见的网络攻击方式，攻击者通过在网页中注入恶意的脚本代码，当用户访问该网页时，这些脚本会在用户的浏览器中执行，从而窃取用户数据、劫持用户会话，甚至进行进一步的攻击。

XSS 攻击的工作原理

  1. 注入恶意代码：
  • 攻击者在网页的输入字段（如评论框、搜索框）中输入恶意脚本代码。
  1. 恶意代码的传递方式：
  • 恶意代码可以通过以下几种方式传递到用户浏览器中：
    - 存储型XSS：恶意代码被存储在服务器的数据库中。例如，攻击者在评论区注入恶意脚本，当其他用户查看该评论时，恶意脚本会在他们的浏览器中执行。
    - 反射型XSS：恶意代码通过URL参数传递，当用户点击恶意链接时，服务器会将恶意代码反射回用户的浏览器并执行。
    - DOM型XSS：恶意代码通过客户端脚本直接修改页面的DOM结构，从而在用户浏览器中执行。
  1. 执行恶意代码：
  • 当用户访问含有恶意代码的网页时，浏览器会解析并执行这些代码，攻击者便可获取用户数据或执行其他恶意操作。

xss攻击示例：
以存储型XSS举例，想象你正在浏览一个允许用户留言的网站。这个过程中涉及几个关键步骤：

  1. 注入恶意脚本：攻击者在例如评论框这样的输入字段中输入一些恶意脚本代码，比如 <script>alert('你被攻击了!');</script>。
  2. 代码被提交到服务器：当攻击者提交这条评论时，恶意脚本也一并提交到了服务器，并被保存下来。
  3. 其他用户浏览该评论：当其他用户浏览包含攻击者评论的网页时，网页会加载并显示所有评论，包括攻击者包含恶意脚本的评论。
  4. 脚本在用户浏览器中执行：因为浏览器无法识别这段脚本是恶意的，它会执行这段脚本。例如，显示一个警告框，或更糟糕的是，脚本可能试图窃取用户的登录凭证或其它敏感信息。

如何避免 XSS 攻击?

1、输入验证和转义：

  • 对所有用户输入进行严格验证和过滤，确保其符合预期格式。特别是对HTML特殊字符（如 <, >, & 等）进行转义，防止它们被浏览器解释为代码。

示例：

1
2
3
4
5
6
7
8
9
import re

# 用户输入
user_input = '<script>alert("XSS")</script>'

# 转义HTML特殊字符
escaped_input = user_input.replace('<', '&lt;').replace('>', '&gt;').replace('&', '&amp;')

# 现在escaped_input可以安全地插入到HTML内容中

2、使用安全的编码函数：

  • 使用框架或库提供的安全编码函数对用户输入进行处理。例如，使用Django的escape函数：

示例：

1
2
3
4
from django.utils.html import escape

user_input = '<script>alert("XSS")</script>'
safe_input = escape(user_input)

3、内容安全策略（CSP）：

CSP的核心思想是“白名单”机制，即只允许从特定的、可信的来源加载和执行资源。任何不在白名单中的资源，浏览器都会阻止。通过配置CSP，限制特定脚本的执行，可以显著减少XSS攻击的可能性。

具体步骤：

a. 设置CSP策略：

  • 在HTTP响应头中添加Content-Security-Policy字段，并在其中定义允许的内容来源。
    1
    2
    3
    4
    5
    6
    Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com;


    default-src 'self'：这条规则表示，默认情况下，所有资源（如图像、样式表、字体等）只能从与当前网页相同的来源加载。'self'表示当前网页的来源。

    script-src 'self' https://trusted.cdn.com：这条规则专门针对脚本资源，表示脚本只能从当前网页的来源和https://trusted.cdn.com加载。

b. 浏览器加载页面时检查CSP策略：

  • 浏览器在加载网页时，会读取CSP策略并应用这些规则。

c. 阻止不在白名单中的资源：

  • 如果网页中有资源（如脚本、样式、图像等）试图从不在白名单中的来源加载，浏览器会阻止这些资源的加载和执行。

举个例子：
假设攻击者在网页的评论区插入了一段恶意脚本：

1
<script>alert('XSS Attack');</script>

如果没有CSP，这段恶意脚本会在其他用户访问网页时执行，弹出一个警告框。

有了CSP策略后，浏览器会检查这段脚本的来源：

  • 发现这段脚本是内联脚本（直接嵌入在HTML中的脚本），而不是从’self‘或https://trusted.cdn.com加载的。
  • 因为内联脚本不在允许的脚本来源列表中（没有明确允许内联脚本），浏览器会阻止这段脚本的执行。

总结：

XSS攻击是一种通过在网页中注入恶意脚本来窃取用户数据或执行恶意操作的攻击方式。为了防止XSS攻击，我们可以对用户输入进行严格验证和转义，使用安全的编码函数，并配置内容安全策略（CSP）。这些措施能有效防止XSS攻击，保护用户数据的安全。

最后:

欢迎大家关注我的微信公众号「跟着小康学编程」！本号致力于分享C/C++/Go/Java 语言学习、计算机基础原理、Linux 编程、数据库、微服务、容器技术 等内容。文章力求通俗易懂，并配有代码示例，方便初学者理解。如果您对这些内容感兴趣，欢迎关注我的公众号「跟着小康学编程」。

后续，我还会陆续分享各个方向的编程面试题，包括C/C++、Java、Go，以及操作系统、计算机网络、数据结构、数据库和微服务等领域，为大家的面试提供帮助。

此外，小康最近创建了一个技术交流群，专门用来讨论技术问题和解答读者的疑问。在阅读文章时，如果有不理解的知识点，欢迎大家加入交流群提问。我会尽力为大家解答。期待与大家共同进步！