003.XSS跨站脚本攻击剖析与防御

003.XSS跨站脚本攻击剖析与防御

写在前面

最近在做Hackerone CTF时,想以专题的方式来复习和跟进最新的研究。具体步骤就是先做CTF,然后去刷Hackerone上的厂商,刷的过程中找书看,找公开漏洞研究,然后接着写工具扫厂商漏洞,最后结果就是挣到钱。

最近练习的是XSS和SQL注入,今天带来《XSS跨站脚本攻击剖析与防御》。

XSS跨站脚本攻击剖析与防御

这本书是我在TSRC用积分兑换的,收到的时间是2013年12月6日,距离现在已经6年。

当时TSRC作为国内第一家SRC,刚公开收漏洞不久,我就提了一个PC客户端的逻辑漏洞,然后屁颠屁颠用积分换了此书。按照现在的价钱来讲,没有上万收不了此漏洞,可见6年过去了,挖掘的难度提高了不止几十倍,门槛越来越高了。

此书是国内第一本详细讲解XSS的书,比起其他讲Web安全的书,介绍的比较全面,多了一些攻击的细节,适合XSS的入门。

但这毕竟是2013年的书,技术迭代太快,新的攻击技巧出现,旧的利用方式已经被修复,如果不跟踪最新的研究,过时是正常的。

观点

猥琐流,在XSS等方向上发挥到了极致。经常出现修复直接被byPass,一个洞重复修复三四次也不完美的情况。以前在WooYun上见过很多bypass的例子,很怀念当时的气氛。

图为自己保存的WooYun上XSS的例子

几年过去了,厂商对于XSS的重视程度在不断提高,但是SRC中最频繁出现的漏洞类型XSS一定在前三,OWASP top10榜单一定有它。

随着AI不断应用在安全上,已经出现了很多Fuzzer+AI生成payload来挖掘XSS。在防御上,自动检测XSS攻击也是一个很好的实践方向。

由于XSS的易变性,扫描器是覆盖不全的,是一个Web选手很好的入手点。随着机器对抗的加入,后面的XSS会更加值钱,在开始之前不妨先手工猥琐流试试手气。

总结

  • 推荐理由: 适合XSS入门,但是内容不新
  • 总体打分: 三星(可以一读)