应用软件安全编程--17预防基于 DOM 的 XSS

DOM型XSS从效果上来说也属于反射型XSS,由于形成的原因比较特殊所以进行单独划分。在网站页面中有许多页面的元素,当页面到达浏览器时浏览器会为页面创建一个顶级的Document object 文档对象,接着生成各个子文档对象,每个页面元素对应一个文档对象,每个文档对象包含属性、方法和事件。可以通过 JS 脚本对文档对象进行编辑从而修改页面的元素。也就是说,客户端的脚本程序可以通过 DOM 来动态修改页面内容,从客户端获取 DOM 中的数据并在本地执行。当应用程序的客户端代码将不受信的参数直接用于动态更新页面的 DOM 节点,应用程序将易于受到基于DOM 的XSS攻击。

对于预防基于DOM的XSS的情况,示例给出了不规范用法(javascript 语言)示例。

javascript 复制代码
示例:

<script)

function           test(){

var str = document.getElementByld("text").value;

document.getElementByld("test").innerHTML="(a      href=""+str+")testLink(/a)";

 

</script)

 

<div              id="test"></div>



<input   type="text"id="text"   value=""/>

<input  type="button"  value="write"  onclick="test()"/>

上面的JavaScript 代码片段可从元素 input 中读取 text信息,并将其显示给用户。

在这里,'write'按钮的onclick 事件调用了 test()方法,而该函数直接引用用户输入的值修改页面 的 DOM 节点,当用户输入οnclick=alert(/xss/)//,应用程序将受到基于DOM 的 XSS 攻击。

为了避免基于Dom 的 XSS 攻击,建议采用以下方式进行防御:

a) 与预防反射型XSS 相同,对用户的输入进行合理验证(如年龄只能是数字),对特殊字符(如 く、〉、、"以及<script〉、javascript 等)进行过滤。

b) 与预防反射型 XSS 相同,根据数据将要置于HTML上下文中的不同位置(HTML 标签、HTML 属性、JavaScript脚本、CSS、URL), 对所有不可信数据进行恰当的输出编码。

c) 与预防反射型 XSS 相同,设置 HttpOnly 属性。

相关推荐
我是ed23 分钟前
# vue3 实现甘特图
前端
m0_6161884942 分钟前
el-table的隔行变色不影响row-class-name的背景色
前端·javascript·vue.js
zheshiyangyang43 分钟前
Vue3组件数据双向绑定
前端·javascript·vue.js
xw51 小时前
uni-app项目支付宝端Input不受控
前端·uni-app·支付宝
大翻哥哥1 小时前
Python上下文管理器进阶指南:不仅仅是with语句
前端·javascript·python
IT_陈寒2 小时前
React 性能优化必杀技:这5个Hook组合让你的应用提速50%!
前端·人工智能·后端
再吃一根胡萝卜2 小时前
Git 强制推送指南:新手必读的「危险操作」解析
前端
诚实可靠王大锤2 小时前
react-native项目通过华为OBS预签名url实现前端直传
前端·react native·华为
Monly212 小时前
Vue:下拉框多选影响行高
前端·javascript·vue.js
是罐装可乐2 小时前
前端架构知识体系:Source Map 的用法和全面解析
前端·映射·前端架构·代码安全·源码地图·source-map