么是XSS腳本攻擊？

XSS(Cross-Site Scripting，跨站腳本攻擊)是一種常見的 Web 攻擊技術，攻擊者通過在 Web 頁面中插入惡意的腳本代碼，使得用戶在瀏覽頁面時執行這些腳本，從而達到攻擊的目的。通常被分為如下的三種類型。

存儲型 XSS(Stored XSS)

攻擊者將惡意腳本代碼存儲在服務器上的數據庫或文件中，當用戶訪問包含這些惡意代碼的頁面時，會執行這些代碼。

反射型 XSS(Reflected XSS)

攻擊者將惡意腳本代碼作為參數注入到URL中，當用戶點擊包含這些惡意參數的URL時，服務器端將參數反射回頁面并執行，從而觸發XSS攻擊。

DOM 型 XSS(DOM-based XSS)

攻擊者利用客戶端腳本對DOM(Document Object Model，文檔對象模型)進行操作的漏洞，通過修改頁面的DOM結構來執行惡意代碼。

常見的XSS攻擊防御手段

• 過濾和清理用戶輸入數據，移除或轉義HTML標簽和特殊字符
• 使用 Content Security Policy(CSP)來限制頁面資源加載和執行的范圍。
• 使用安全的編碼函數來處理用戶輸入和輸出，如HTML編碼、URL編碼等
• 對于敏感操作和數據，使用HttpOnly標記和Secure標記來設置Cookie的屬性，防止被竊取和劫持。
• 對于存儲型XSS，嚴格控制用戶輸入的內容，并對輸入數據進行驗證和過濾。
• 對于反射型XSS，驗證和過濾所有用戶提交的數據，包括URL參數、表單數據等。
• 對于DOM型XSS，避免直接使用用戶輸入的數據操作DOM，盡量使用安全的DOM操作方式。

如何實現？

SpringBoot可以通過使用過濾器或攔截器來對請求參數進行過濾和清理，防止惡意的XSS腳本注入。下面是一種通過過濾器實現防止XSS攻擊的方法。

創建一個自定義的過濾器，用于過濾請求中的參數，并清理其中的HTML標簽和特殊字符。

@WebFilter("/*")
public class XSSFilter implements Filter {
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        // 初始化操作，可以留空
    }
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        chain.doFilter(new XSSRequestWrapper((HttpServletRequest) request), response);
    }
    @Override
    public void destroy() {
        // 銷毀操作，可以留空
    }
    static class XSSRequestWrapper extends HttpServletRequestWrapper {
        XSSRequestWrapper(HttpServletRequest request) {
            super(request);
        }
        @Override
        public String getParameter(String name) {
            String value = super.getParameter(name);
            if (value != null) {
                value = cleanXSS(value);
            }
            return value;
        }
        private String cleanXSS(String value) {
            // 進行 XSS 過濾，清理 HTML 標簽和特殊字符
            // 例如，可以使用正則表達式或者第三方庫進行過濾
            // 這里只是簡單示例，具體過濾規則需根據實際情況自行設計
            return value.replaceAll("<", "<")
                        .replaceAll(">", ">")
                        .replaceAll("\"", """)
                        .replaceAll("'", "'")
                        .replaceAll("&", "&");
        }
    }
}

在SpringBoot應用的配置類中注冊該過濾器。

@Bean
public FilterRegistrationBean<XSSFilter> xssFilterRegistration() {
    FilterRegistrationBean<XSSFilter> registration = new FilterRegistrationBean<>();
    registration.setFilter(new XSSFilter());
    registration.addUrlPatterns("/*");
    registration.setName("xssFilter");
    registration.setOrder(1);
    return registration;
}

上述代碼，我們創建了一個名為XSSFilter的過濾器，在doFilter方法中，對請求進行過濾，并在需要時使用XSSRequestWrapper對請求參數進行清理。清理過程中，我們簡單地將 HTML 標簽和一些特殊字符替換為相應的轉義序列，以防止惡意腳本注入。

請注意，這只是一種簡單的示例，實際場景中應根據具體情況制定更為嚴格的過濾規則。

互聯網誕生起，安全威脅就--直伴隨著網站的發展，各種Web攻擊和信息泄露也從未停止。2011年中國互聯網領域爆出兩樁比較大的安全事故，一樁是新浪微博遭XSS攻擊，另一樁是以CSDN為代表的多個網站泄露用戶密碼和個人信息。特別是后者,因為影響人群廣泛，部分受影響網站涉及用戶實體資產和交易安全，一時成為輿論焦點。

這里列舉常用的幾中攻擊方式：

一、XSS攻擊

xss攻擊即跨站點腳本攻擊( Cross Site Script), 指黑客通過篡改網頁，注入惡意HTML腳本，保存在網站的服務器，在用戶瀏覽網頁時，控制用戶瀏覽器進行惡意操作的一種攻擊方式。

XSS攻擊相對而言是一種“古老”的攻擊手段，卻又歷久彌新，不斷變化出新的攻擊花樣，許多以前認為不可能用來攻擊的漏洞也逐漸被攻擊者利用。因此XSS防攻擊也是非常復雜的。主要手段有如下兩種。

1、過濾消毒

xss攻擊者一般都是通過在請求中嵌入惡意腳本達到攻擊的目的，這些腳本是一般用戶輸入中不使用的，如果進行過濾和消毒處理，即對某些html 危險字符轉義，如“>”轉義為“>"、“<”轉義為“<” 等，就可以防止大部分攻擊。為了避免對不必要的內容錯誤轉義，如“3<5”中的“<”需要進行文本匹配后再轉義，如“<img src=”這樣的上下文中的“<" 才轉義。事實上，消毒幾乎是所有網站最必備的XSS防攻擊手段。

2、HttpOnly

最早由微軟提出，即瀏覽器禁止頁面JavaScript訪問帶有HttpOnly屬性的Cookie。

HttpOnly并不是直接對抗XSS攻擊的，而是防止XSS攻擊者竊取Cookie。對于存放敏感

信息的Cookie,如用戶認證信息等，可通過對該Cookie添加HttpOnly屬性，避免被攻擊

腳本竊取。

二、注入攻擊

注入攻擊主要有兩種形式，SQL 注入攻擊和OS注入攻擊。SQL注入攻擊的原理如下。攻擊者在HTTP請求中注入惡意SQL命令( drop table users;),服務器用請求參數構造數據庫SQL命令時，惡意SQL被一起構造，并在數據庫中執行。

SQL注入攻擊需要攻擊者對數據庫結構有所了解才能進行，攻擊者獲取數據庫表結構信息的手段有如下幾種：比如網站使用了開源的組件、錯誤提示返回數據結構信息等。常用防御方式有兩種：

1、過濾

和防XSS攻擊一樣，請求參數消毒是一種比較簡單粗暴又有效的手段。通過正則匹配，過濾請求數據中可能注入的SQL，如“ drop table" 、“ \b(?:updatelb.*?\bset|delete\b\W*?\bfrom)b"等。

2、參數綁定

使用預編譯手段，綁定參數是最好的防SQL注入方法。目前許多數據訪問層框架，如IBatis, Hibernate等,都實現SQL預編譯和參數綁定,攻擊者的惡意SQL會被當做SQL的參數，而不是SQL命令被執行。

除了SQL注入，攻擊者還根據具體應用，注入OS命令、編程語言代碼等，利用程序漏洞，達到攻擊目的。

三、CSRF攻擊

CSRF ( Cross Site Request Forgery,跨站點請求偽造),攻擊者通過跨站請求，以合法用戶的身份進行非法操作，如轉賬交易、發表評論等。CSRF的主要手法是利用跨站請求，在用戶不知情的情況下，以用戶的身份偽造請求。其核心是利用了瀏覽器Cookie或服務器Session策略，盜取用戶身份。

相應地，CSRF的防御手段主要是識別請求者身份。主要有下面幾種方法。

1、表單token

CSRF是一個偽造用戶請求的操作,所以需要構造用戶請求的所有參數才可以。表單Token通過在請求參數中增加隨機數的辦法來阻止攻擊者獲得所有請求參數:在頁面表單中增加一個隨機數作為Token,每次響應頁面的Token都不相同，從正常頁面提交的請求會包含該Token值,而偽造的請求無法獲得該值,服務器檢查請求參數中Token的值是否存在并且正確以確定請求提交者是否合法。

2、驗證碼

相對說來，驗證碼則更加簡單有效，即請求提交時，需要用戶輸入驗證碼，以避免在用戶不知情的情況下被攻擊者偽造請求。但是輸入驗證碼是一個糟糕的用戶體驗，所以請在必要時使用，如支付交易等關鍵頁面。

3、Referer check

HTTP請求頭的Referer域中記錄著請求來源，可通過檢查請求來源,驗證其是否合法。很多網站使用這個功能實現圖片防盜鏈(如果圖片訪問的頁面來源不是來自自己網站的網頁就拒絕)。

三、其他攻擊和漏洞

以上只是列舉常見的三種，還有一些其他的也常被黑客利用，比如錯誤堆棧信息直接返回敏感信息，HTML注釋有敏感信息，文件上傳只沒有限制文件類型（黑客上傳惡意腳本），路徑遍厲等

select * from user 
 where name = 'lianggzone' 
 and password = '' or '1'='1'

<input type="text" name="name" value="梁桂釗"/>

"/><script>alert("haha")</script><!-

<input type="text" name="name" value="梁桂釗"/><script>alert("haha")</script><!-"/>