【奇安信安全漏洞】XSS漏洞/重定向漏洞解决及产生分析！_奇安信漏洞

产生原因：

1、反射型XSS
反射型XSS，也称为非持久性XSS，是最常见的一种XSS。

XSS代码常常出现在URL请求中，当用户访问带有XSS代码的URL请求时，服务器端接收请求并处理，然后将带有XSS代码的数据返回给浏览器，浏览器解析该段带有XSS代码的数据并执行，整个过程就像一次反射，故称为反射型XSS。

该类攻击的主要特点是它的及时性和一次性，即用户提交请求后，响应信息会立即反馈给用户。该类攻击常发生在搜索引擎、错误提示页面等对用户的输入做出直接反应的场景中。

2、存储型XSS
存储型XSS，也称为持久性XSS。

在存储型XSS中，XSS代码被存储到服务器端，因此允许用户存储数据到服务器端的Web应用程序可能存在该类型XSS漏洞。攻击者提交一段XSS代码后，服务器接收并存储，当其他用户访问包含该XSS代码的页面时，XSS代码被浏览器解析并执行。

存储型XSS攻击的特点之一是提交的恶意内容会被永久存储，因而一个单独的恶意代码就会使多个用户受害，故被称为持久性XSS，它也是跨站脚本攻击中危害最的一类。二是被存储的用户提交的恶意内容不一定被页面使用，因此存在危险的响应信息不一定被立即返回，也许在访问那些在时间上和空间上没有直接关联的页面时才会引发攻击，因此存在不确定性和更好的隐蔽性。

这类攻击的一个典型场景是留言板、博客和论坛等，当恶意用户在某论坛页面发布含有恶意的Javascript代码的留言时，论坛会将该用户的留言内容保存在数据库或文件中并作为页面内容的一部分显示出来。当其他用户查看该恶意用户的留言时，恶意用户提交的恶意代码就会在用户浏览器中解析并执行。

3、DOM型XSS
DOM (Document Objet Model)指文档对象模型。

DOM常用来表示在HTML和XML中的对象。DOM可以允许程序动态的访问和更新文档的内容、结构等。客户端JavaScript可以访问浏览器的文档对象模型。也就是说，通过JavaScript代码控制DOM节点就可以不经过服务器端的参与重构HTML页面。

该类攻击是反射型XSS的变种。它通常是由于客户端接收到的脚本代码存在逻辑错误或者使用不当导致的。比如Javascript代码不正确地使用各种DOM方法(如document.write)和Javascript内部函数(如eval函数)，动态拼接HTML代码和脚本代码就容易引发DOM型的跨站脚本攻击。

因此，DOM型XSS与前面两种XSS的区别就在于DOM型XSS攻击的代码不需要与服务器端进行交互，DOM型XSS的触发基于浏览器端对DOM数据的解析来完成，也就是完全是客户端的事情。

应用程序的客户端代码从javaScript、document.location、request url、document.url、document.referrer。。或者其他任何攻击者可以修改的浏览器对象获取数据、如果未验证数据是否存在恶意代码的情况下，就将其动态的更新到页面的DOM节点，应用程序将易于收到基于DOM的XSS攻击。

解决办法：

既然都明确说明了是从客户端获取的数据，需要校验后才可以使用，那思路就清晰了。如何校验呢？也并不是简单的校验字符而已！

示例：

//客户端获取值
var actionValue = $("#action").val();
//filterForDOMXSS函数用来过滤值
var modeFlag = 0
var sanitizedActionValue = filterForDOMXSS(actionValue,modeFlag);
var encodedActionValue = sanitizedActionValue.value;
var url = "../../../ReportAction.do?action=" + encodedActionValue;
window.location.href = url;
 
 
//此函数用来自定义校验获取到的值的内容
function filterForDOMXSS(value,modeFlag) {
  var searchStatus = false;
        // 过滤关键词，后续可以继续加
        var crucialword = ['javascript',"eval","alert","onclick","ondbclick","onmousedown","onmouseup","onmouseover","onmouseout","onmousemove","onkeydown","onkeyup","onkeypress","<script+.*>","<p+.*>","<a+.*>","<img+.*>","<h+.*>","<textarea+.*>","<span+.*>","<div+.*>","<td+.*>","<tr+.*>","<th+.*>","<li+.*>","<ul+.*>","<option+.*>","<select+.*>","<del+.*>","<ol+.*>","<label+.*>","<button+.*>","<style+.*>","<em+.*>","<strong+.*>","<strike+.*>","<b+.*>","<s+.*>","<u+.*>","<sub+.*>","<sup+.*>","<small+.*>","<dl+.*>","<dt+.*>","<i+.*>","<pre+.*>","<q+.*>","<blockquote+.*>","<br+.*>","<code+.*>","<cite+.*>","\\$\\(+.*\\)"];
        for(var i = 0;i<crucialword.length;i++){
            var check = new RegExp(crucialword[i],"gi");
            if(check.exec(value)){
                searchStatus = true;
                break;
            }
        }
        if(searchStatus){
            value = value.replace(/javascript/gi,"")
            .replace(/eval/gi,"")
            .replace(/alert/gi,"")
            .replace(/onclick/gi,"")
            .replace(/ondbclick/gi,"")
            .replace(/onmousedown/gi,"")
            .replace(/onmouseup/gi,"")
            .replace(/onmouseover/gi,"")
            .replace(/onmouseout/gi,"")
            .replace(/onmousemove/gi,"")
            .replace(/onkeydown/gi,"")
            .replace(/onkeyup/gi,"")
            .replace(/onkeypress/gi,"")
            // 仅过滤标签模式
            if(modeFlag == 0){
                value = value.replace(/<script+.*>/gi,"")
                .replace(/<p+.*>/gi,"")
                .replace(/<a+.*>/gi,"")
                .replace(/<img+.*>/gi,"")
                .replace(/<h+.*>/gi,"")
                .replace(/<textarea+.*>/gi,"")
                .replace(/<span+.*>/gi,"")
                .replace(/<div+.*>/gi,"")
                .replace(/<td+.*>/gi,"")
                .replace(/<tr+.*>/gi,"")
                .replace(/<th+.*>/gi,"")
                .replace(/<li+.*>/gi,"")
                .replace(/<ul+.*>/gi,"")
                .replace(/<option+.*>/gi,"")
                .replace(/<select+.*>/gi,"")
                .replace(/<del+.*>/gi,"")
                .replace(/<ol+.*>/gi,"")
                .replace(/<label+.*>/gi,"")
                .replace(/<button+.*>/gi,"")
                .replace(/<style+.*>/gi,"")
                .replace(/<em+.*>/gi,"")
                .replace(/<strong+.*>/gi,"")
                .replace(/<strike+.*>/gi,"")
                .replace(/<sub+.*>/gi,"")
                .replace(/<sup+.*>/gi,"")
                .replace(/<small+.*>/gi,"")
                .replace(/<dl+.*>/gi,"")
                .replace(/<dt+.*>/gi,"")
                .replace(/<i+.*>/gi,"")
                .replace(/<pre+.*>/gi,"")
                .replace(/<q+.*>/gi,"")
                .replace(/<blockquote+.*>/gi,"")
                .replace(/<br+.*>/gi,"")
                .replace(/<code+.*>/gi,"")
                .replace(/<cite+.*>/gi,"")
            }else if(modeFlag == 1){
                // 过滤符号模式
                value = value.replace(/</g,"")
                .replace(/&lt;/g,"")
                .replace(/gt&;/gi,"")
                .replace(/\$\(\)/g,"");
            }else if(modeFlag ==2){
                // 全过滤模式，不推荐使用
                value = value.replace(/<\w+.*>/g,"");
            }
            return {"value":value,"status":searchStatus,"Message":"系统监测到有恶意代码输入，请注意您的行为"}
        }else{
            return{"value":value,"status":searchStatus,"Message":""}
        }

在上述修复代码中，我们引入了一个名为`filterForDOMXSS()`的函数，用于对输入值进行清理和验证。这个函数可以执行以下操作：

- 去除或转义任何潜在的恶意脚本标签或特殊字符。
- 验证输入值的格式和内容，确保它符合预期的规范。

通过对输入值进行适当的清理和验证，可以确保在调用`encodeURIComponent()`之前不会出现潜在的恶意脚本或特殊字符。

请注意，确切的清理和验证逻辑取决于您的应用程序要求和安全策略。您可能需要自定义`sanitizeInput()`函数，以适应您的具体需求和防御目标。

总结起来，解决这个问题的关键在于对用户输入进行适当的处理和验证，以确保不会传递任何潜在的恶意脚本或特殊字符给`encodeURIComponent()`函数。这样可以减轻XSS漏洞的风险(包括重定向问题)。

文章代码并非本人所写，是看到一个遇到同样问题的兄弟写的代码，但是由于没有收藏兄弟博客已经找不到了，在这里就不艾特了！！！本人只是搬运工，感谢原代码作者