CSS注入實(shí)例

習(xí)CSS注入的目的是學(xué)習(xí)計(jì)算機(jī)知識(shí)，千萬(wàn)不要做違反法律的事情，不然等待你的是法律的嚴(yán)懲。

CSS僅僅只是一種用來(lái)表示樣式的語(yǔ)言嗎？當(dāng)然不是！CSS就已被安全研究人員運(yùn)用于滲透測(cè)試當(dāng)中。使用屬性選擇器和iFrame，并通過(guò)CSS注入來(lái)竊取敏感數(shù)據(jù)的方法。但由于該方法需要iFrame，而大多數(shù)主流站點(diǎn)都不允許該操作，因此這種攻擊方法并不實(shí)用。這里為大家詳細(xì)介紹一種不需要iframe且只需10秒，就能為獲得CSRF token的方法。

一、背景

CSS屬性選擇器開(kāi)發(fā)者可以根據(jù)屬性標(biāo)簽的值匹配子字符串來(lái)選擇元素。這些屬性值選擇器可以做以下操作：

如果字符串以子字符串開(kāi)頭，則匹配
如果字符串以子字符串結(jié)尾，則匹配
如果字符串在任何地方包含子字符串，則匹配

屬性選擇器能讓開(kāi)發(fā)人員查詢單個(gè)屬性的頁(yè)面HTML標(biāo)記，并且匹配它們的值。一個(gè)實(shí)際的用例是將以“https://example.com”開(kāi)頭的所有href屬性變?yōu)槟撤N特定的顏色。而在實(shí)際環(huán)境中，一些敏感信息會(huì)被存放在HTML標(biāo)簽內(nèi)。在大多數(shù)情況下CSRF token都是以這種方式被存儲(chǔ)的：即隱藏表單的屬性值中。

可以將CSS選擇器與表單中的屬性進(jìn)行匹配，并根據(jù)表單是否與起始字符串匹配，加載一個(gè)外部資源，例如背景圖片，來(lái)嘗試猜測(cè)屬性的起始字母。通過(guò)這種方式，攻擊者可以進(jìn)行逐字猜解并最終獲取到完整的敏感數(shù)值。想要解決這個(gè)問(wèn)題受害者可以在其服務(wù)器實(shí)施內(nèi)容安全策略（CSP），防止攻擊者從外部加載CSS代碼。

二、無(wú) iFrames

要做到無(wú)iFrame，使用一種方法：創(chuàng)建一個(gè)彈窗，然后在設(shè)置計(jì)時(shí)器后更改彈出窗口的位置。使用這種方仍然可以加載受害者的CSS，不再依賴于受害者是否允許iFrame。因?yàn)樽畛醯膹棾鍪峭ㄟ^(guò)用戶事件觸發(fā)的，沒(méi)有被瀏覽器阻止。為了強(qiáng)制重載，在CSS注入間彈出一個(gè)虛擬窗口，如下：

但由于CSRF是針對(duì)客戶端的攻擊，因此如果能想出一種不需要服務(wù)器的方法，那么就可以節(jié)省大量的開(kāi)銷和簡(jiǎn)化操作。為了接收客戶端加載資源，可以利用Service Workers來(lái)攔截和讀取請(qǐng)求數(shù)據(jù)。Service Workers目前只適用于同源請(qǐng)求，在演示中受害者和攻擊者頁(yè)面已處于同一源上。

不久后，chrome很可能會(huì)合并這個(gè)實(shí)驗(yàn)性的功能，允許Service Workers攔截跨域請(qǐng)求。這樣，就可以確保在客戶端的攻擊100%的執(zhí)行，并強(qiáng)制用戶在10秒內(nèi)點(diǎn)擊鏈接執(zhí)行CSRF攻擊，演示如下：

三、Demo

如上所述，因?yàn)椴幌脒\(yùn)行一個(gè)web服務(wù)器，所以使用service workers攔截和模擬服務(wù)器端組件。目前，該演示只適用于Chrome瀏覽器。首先創(chuàng)建了一個(gè)易受攻擊的目標(biāo)，它存在一個(gè)基于DOM的CSS注入漏洞，并在頁(yè)面放置了一個(gè)敏感token。再對(duì)腳本標(biāo)簽添加了一些保護(hù)措施，對(duì)左尖括號(hào)和右尖括號(hào)進(jìn)行了編碼。

接下來(lái)將強(qiáng)制加載受害者的CSS，并且使用上述方法，可一次竊取（猜解）一個(gè)敏感字符。在接收端，定義一個(gè)攔截請(qǐng)求的service worker，并通過(guò)post-message將它們發(fā)送回域，然后將token存儲(chǔ)在本地存儲(chǔ)中以供后續(xù)使用。你也可以想象一個(gè)后端Web服務(wù)器，通過(guò)Web套接字或輪詢將CSRF token回發(fā)給攻擊者域。

如果你的瀏覽器支持的話，只需點(diǎn)擊打開(kāi)頁(yè)面任意位置，你將看到CSRF token將逐一被猜解出來(lái)。

四、結(jié)束語(yǔ)

反射型CSS注入實(shí)際上比存儲(chǔ)型CSS注入更致命，因?yàn)榇鎯?chǔ)型CSS注入需要一個(gè)服務(wù)器在受害者渲染之前來(lái)更新CSS。一段時(shí)間以來(lái)，CSS注入在嚴(yán)重程度上來(lái)回變化。過(guò)去IE瀏覽器是允許用戶在CSS中執(zhí)行Javascript代碼的。這個(gè)演示也從某種程度上表明了CSS注入，以及渲染不受信任的CSS仍會(huì)導(dǎo)致嚴(yán)重的安全問(wèn)題。所以在設(shè)計(jì)軟件一定要測(cè)試，才能及時(shí)發(fā)現(xiàn)和修復(fù)各種漏洞。

eb前端教程

ASP是動(dòng)態(tài)服務(wù)器頁(yè)面(ActiveServerPage)的英文縮寫。是微軟公司開(kāi)發(fā)的代替CGI腳本程序的一種應(yīng)用，它可以與數(shù)據(jù)庫(kù)和其它程序進(jìn)行交互，是一種簡(jiǎn)單、方便的編程工具。ASP的網(wǎng)頁(yè)文件的格式是.asp。現(xiàn)在常用于各種動(dòng)態(tài)網(wǎng)站中。

我們?cè)趯慳sp頁(yè)面的時(shí)候，常常使用include命令來(lái)包含公共文件。由于這個(gè)方法用起來(lái)非常方便，于是很多人在html頁(yè)面里嘗試使用include，但是發(fā)現(xiàn)根本就不起作用。這是因?yàn)椋琲nclude是VBScript的命令，因此可以在asp頁(yè)面里使用。而HTML靜態(tài)頁(yè)面被調(diào)用的時(shí)候并不經(jīng)過(guò)asp解釋器，而是直接發(fā)送到用戶瀏覽器，因此include命令就無(wú)效了。

對(duì)于信息量較大的網(wǎng)站，通常我們都選擇使用靜態(tài)頁(yè)面，否則數(shù)據(jù)庫(kù)查詢太頻繁，服務(wù)器壓力太大。但是過(guò)多的頁(yè)面里面，如果不能用調(diào)用的方式將公共內(nèi)容包含進(jìn)去，那么一旦修改起來(lái)就太可怕了。

include最大的價(jià)值就是因重用而易于維護(hù)，怎樣才能在靜態(tài)頁(yè)面里也實(shí)現(xiàn)include的功能呢？最簡(jiǎn)單的辦法，就是做asp后綴的靜態(tài)頁(yè)面——內(nèi)容是靜態(tài)的，頁(yè)面保存成asp后綴的，這種方式對(duì)搜索引擎沒(méi)有什么影響，實(shí)際運(yùn)算量也并不大（因?yàn)殡m然經(jīng)過(guò)asp解釋器，但是實(shí)際上幾乎沒(méi)有運(yùn)算量）。如果您一定要做HTM后綴的靜態(tài)頁(yè)，那么還有下面這些方法可供替代。

1.IFrame.這個(gè)可能是大家最熟悉的

加上它的一些屬性可以實(shí)現(xiàn)一些透明,無(wú)滾動(dòng)條等具體的效果.大家可以html教程的相關(guān)介紹2.Frameset

這就是大家熟悉的框架了，沒(méi)什么好說(shuō)的，看看html教程就行3.<objecttype="text/x-scriptlet"data="import.htm"width=100%height=30></object>4.Behavior的download方式

<ie:downloadid="oDownload"></ie:download>

functiononDownloadDone(downDate){

showImport.innerHTML=downDate

}

oDownload.startDownload(＇import.htm＇,onDownloadDone)

</script>5.<script>

就是把相關(guān)的html文件轉(zhuǎn)化為js文件，再在調(diào)用的時(shí)候用

很多CMS系統(tǒng)的廣告模塊都是這么實(shí)現(xiàn)的。

這個(gè)方法有點(diǎn)要注意的假如你是用來(lái)包含象頭部、導(dǎo)航這些的話，建議不要用這個(gè)，不利于搜索引擎的搜集。主導(dǎo)航也盡量不要使用js，不利于搜索引擎對(duì)你的站點(diǎn)結(jié)構(gòu)建立索引。

ASP是一種服務(wù)器端腳本編寫環(huán)境，可以用來(lái)創(chuàng)建和運(yùn)行動(dòng)態(tài)網(wǎng)頁(yè)或web應(yīng)用程序。ASP網(wǎng)頁(yè)可以包含HTML標(biāo)記、普通文本、腳本命令以及COM組件等。利用ASP可以向網(wǎng)頁(yè)中添加交互式內(nèi)容（如在線表單），也可以創(chuàng)建使用HTML網(wǎng)頁(yè)作為用戶界面的web應(yīng)用程序。

用JSP進(jìn)行開(kāi)發(fā)，需要具備相應(yīng)的運(yùn)行環(huán)境，即Web瀏覽器、Web服務(wù)器、JDK開(kāi)發(fā)工具包、數(shù)據(jù)庫(kù)。

一、Web瀏覽器

瀏覽器主要是作為用于客戶端用戶訪問(wèn)Web應(yīng)用的工具，與開(kāi)發(fā)JSP應(yīng)用的關(guān)系不大。

開(kāi)發(fā)JSP對(duì)瀏覽器的要求并不是很高，任何支持HTML的瀏覽器都可以。

二、Web服務(wù)器

Web服務(wù)器是運(yùn)行及發(fā)布Web應(yīng)用的大容器，只有將開(kāi)發(fā)的Web項(xiàng)目放置到該容器中，才能使網(wǎng)絡(luò)中的所有用戶通過(guò)瀏覽器進(jìn)行訪問(wèn)。

開(kāi)發(fā)JSP應(yīng)用所采用的的服務(wù)器主要是Servlet兼容的Web服務(wù)器，比較常用的有WebLogic、WebSphere、Tomcat。

WebLogic是BEA公司的產(chǎn)品，后被Oracle公司并購(gòu)，它分為WebLogic Server、WebLogic Enterprise和WebLogic Portal系列，其中WebLogic Server的功能特別強(qiáng)大，它支持企業(yè)級(jí)的、多層次的和完全分布式的Web應(yīng)用，并且服務(wù)器的配置簡(jiǎn)單、界面友好。

IBM公司的WebSphere是一種功能完善、開(kāi)放的Web應(yīng)用程序服務(wù)器，它基于Java的應(yīng)用環(huán)境，建立、部署和管理Web應(yīng)用程序。相對(duì)于其他流行的Web服務(wù)器而言，應(yīng)用的數(shù)量很少。

Tomcat服務(wù)器最為流行，它是Apache-Jarkarta開(kāi)源項(xiàng)目中的一個(gè)子項(xiàng)目，是一個(gè)小型的、輕量級(jí)的、支持JSP和Servlet技術(shù)的Web服務(wù)器。但是Tomcat對(duì)靜態(tài)文件和高并發(fā)的處理能力比較弱。

三、JDK

JDK（Java Develop Kit，Java開(kāi)發(fā)工具包）包括運(yùn)行Java程序所必須得JRE環(huán)境及開(kāi)發(fā)過(guò)程中常用的庫(kù)文件。

在使用JSP開(kāi)發(fā)網(wǎng)站之前，首先必須安裝JDK。

四、數(shù)據(jù)庫(kù)

任何項(xiàng)目的開(kāi)發(fā)幾乎都需要使用數(shù)據(jù)庫(kù)，數(shù)據(jù)庫(kù)用來(lái)存儲(chǔ)項(xiàng)目中需要的信息。

根據(jù)項(xiàng)目的規(guī)模及業(yè)務(wù)特點(diǎn)采用合適的數(shù)據(jù)庫(kù)。

大型項(xiàng)目可采用Oracle數(shù)據(jù)庫(kù)。

中小型項(xiàng)目可采用MySQL數(shù)據(jù)庫(kù)。

五、JSP程序開(kāi)發(fā)模式

1、單純的JSP頁(yè)面編程

通過(guò)應(yīng)用JSP中的腳本標(biāo)志，可直接在JSP頁(yè)面中實(shí)現(xiàn)各種功能。

但是這種方式將大部分的Java代碼與HTML代碼混淆在一起，會(huì)給程序的維護(hù)和調(diào)試帶來(lái)很多的困難。就好比將負(fù)責(zé)不同任務(wù)的所有員工都安排在一起工作，勢(shì)必混亂不堪。

2、JSP + JavaBean編程

該模式是JSP程序開(kāi)發(fā)經(jīng)典設(shè)計(jì)模式之一，適合小型或中型網(wǎng)站開(kāi)發(fā)。

JavaBean是一個(gè)遵循了一定規(guī)則的Java類，在程序的開(kāi)發(fā)中，將要進(jìn)行的業(yè)務(wù)邏輯封裝到這個(gè)類中，在JSP頁(yè)面中通過(guò)動(dòng)作標(biāo)簽來(lái)調(diào)用這個(gè)類，從而執(zhí)行這個(gè)業(yè)務(wù)邏輯。

此時(shí)的JSP除了負(fù)責(zé)部分流程的控制外，大部分用來(lái)進(jìn)行頁(yè)面的顯示。JavaBean則負(fù)責(zé)業(yè)務(wù)邏輯的處理。

第一步：用戶通過(guò)客戶端瀏覽器請(qǐng)求服務(wù)器。

第二步：服務(wù)器接收用戶請(qǐng)求后調(diào)用JSP頁(yè)面；

第三步：在JSP頁(yè)面中調(diào)用JavaBean。

第四步：在JavaBean中連接及操作數(shù)據(jù)庫(kù)，或?qū)崿F(xiàn)其他業(yè)務(wù)邏輯。

第五步：JavaBean將執(zhí)行的結(jié)果返回JSP頁(yè)面。

第六步：服務(wù)器讀取JSP頁(yè)面中的內(nèi)容，將JSP中的靜態(tài)內(nèi)容和動(dòng)態(tài)內(nèi)容相結(jié)合。

最后服務(wù)器將最終的結(jié)果返回給客戶端瀏覽器進(jìn)行顯示。

在線咨詢

上一篇：在網(wǎng)頁(yè)設(shè)計(jì)過(guò)程中正確理解css圓角邊框及背景圖
下一篇：一步步走上爬蟲巔峰-進(jìn)階1(Requests、XPath語(yǔ)法和lxml模塊)