Web应用程序的威胁与对策(12)

攻击者的代码通常在进程安全上下文中结束运行。这突出了使用最低特权进程帐户的重要性。如果当前的线程正在模仿，则攻击者的代码将在线程模仿标记定义的安全上下文中结束运行。攻击者通常所做的第一件事情是调用 RevertToSelf API 以转换到攻击者希望具有更高特权的进程级别安全上下文。

确保验证输入的类型和长度，特别是在调用非托管的代码之前，因为非托管代码特别容易受到缓冲区溢出的影响。

跨站点脚本

当浏览器连接到受信任的网站时，XSS 攻击会导致任意代码在用户浏览器中运行。此攻击以应用程序的用户而不是应用程序本身为目标，但它使用应用程序作为攻击工具。

因为脚本代码是从受信任站点上通过浏览器下载的，所以浏览器无法知道此代码是非法的。Internet Explorer 安全区域未提供任何防御。因为攻击者的代码可以访问与受信任站点相关的 Cookie 而且此代码存储在用户的本地计算机上，所以用户身份验证 Cookie 通常是攻击的目标。

跨站点脚本示例

为启动攻击，攻击者必须使用户单击一个精心设计的超链接，例如，通过在发送给用户的电子邮件中嵌入链接或向新闻组公告中添加恶意链接。链接指向应用程序中易受攻击的页面，该页面以 HTML 输出流形式将未经验证的输入发送回浏览器。例如，考虑下面两个链接。

这是一个合法链接：

复制代码

/logon.aspx?username=bob

这是一个恶意链接：

复制代码

/logon.aspx?username=<script>alert('hacker code')</script>

如果 Web 应用程序提取了查询字符串，无法对其进行正确验证并使其返回浏览器，则脚本代码将在浏览器中执行。前面的示例将显示一条无害的弹出式消息。采用合适的脚本，攻击者可以轻松提取用户的身份验证 cookie 并将其粘贴到自己的站点，然后作为经过身份验证的用户向目标网站发出请求。

防止 XSS 的对策包括：

执行彻底的输入验证。您的应用程序必须确保查询字符串、表格字段和 Cookie 的输入对应用程序而言有效。认为所有

用户输入都可能是恶意的，并筛选和清洁下游代码的上下文。验证已知有效值的所有输入，并拒绝所有其他输入。使用

正则表达式来验证通过 HTML 表格字段、Cookie 和查询字符串接收的输入数据。