摘要：年月，遭到了攻击，这个事件足以警示我们。自从年双十一正式上线，累计处理了亿错误事件，付费客户有金山软件百姓网等众多品牌企业。
译者按: 10 年前的博客似乎有点老了，但是XSS 攻击的威胁依然还在，我们不得不防。
原文: XSS - Stealing Cookies 101
译者: Fundebug
本文采用意译，版权归原作者所有
窃取Cookie是非常简单的，因此不要轻易相信客户端所声明的身份。即便这个Cookie是在数秒之前验证过，那也未必是真的，尤其当你仅使用Cookie验证客户端的时候。
2006 年 1 月，LiveJournal遭到了XSS攻击，这个事件足以警示我们。还有，2006 年 10 月，MySapce也遭到了XSS攻击，这告诉我们必须非常谨慎地过滤用户发布的文本，因为黑客可以在文本中掺杂一些 JavaScript 代码，以此窃取登陆用户的Cookie。
正如黑客攻击LiveJournal那样，你不需要在登陆用户的浏览器进行任何操作，而可以在第三方进行所有操作。更糟糕的是，窃取Cookie事实上操作起来非常简单，但是防范起来却非常困难。
下面的的 JavaScript 代码就可以窃取Cookie，是不是很简单？
如果我可以将这段代码插入到某个登陆用户的页面，则Cookie就会通过 HTTP 请求发送给我，然后我就可以伪造那个可怜的登陆用户了！
在 IE 浏览器上，可以通过在 CSS 代码中执行 JavaScript 来窃取Cookie，也很简单。
如果你对用户发布的文本内容不进行严格的过滤的话，黑客就可以很方便地窃取Cookie。是不是很可怕？如果你是一个负责任的开发者的话，你就应该保持警惕！因此，你必须假设所有用户的Cookie都被窃取了。注意，是所有用户，对于这一点，我不想含糊其辞。
为了保证安全：请不停地重设session的重设；将过期时间设置短一些；监控referrer与userAgent的值；使用HttpOnly禁止脚本读取Cookie。这些措施并非万无一失，但是增加了黑客的难度，因此也是有效的。
如果你对MySapce遭到的XSS攻击不了解，可以查看黑客本人公开的技术细节，很有趣，不过切勿模仿，因为他为自己的行为此付出了不小的代价：三年内被禁止使用电脑！。
参考链接9.3 避免 XSS 攻击
Technical explanation of The MySpace Worm
Account Hijackings Force LiveJournal Changes
关于FundebugFundebug专注于JavaScript、微信小程序、微信小游戏、支付宝小程序、React Native、Node.js和Java线上应用实时BUG监控。 自从2016年双十一正式上线，Fundebug累计处理了10亿+错误事件，付费客户有Google、360、金山软件、百姓网等众多品牌企业。欢迎大家免费试用！
版权声明转载时请注明作者Fundebug以及本文地址：
https://blog.fundebug.com/2017/08/16/xss_steal_cookie/
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/11290.html
摘要：禁止内联脚本执行规则较严格，目前发现使用。典型的攻击流程受害者登录站点，并保留了登录凭证。站点接收到请求后，对请求进行验证，并确认是受害者的凭证，误以为是无辜的受害者发送的请求。攻击完成，攻击者在受害者不知情的情况下，冒充受害者完成了攻击。 随着互联网的发展，各种Web应用变得越来越复杂，满足了用户的各种需求的同时，各种网络安全问题也接踵而至。作为前端工程师的我们也逃不开这个问题，今天一起...
摘要：禁止内联脚本执行规则较严格，目前发现使用。典型的攻击流程受害者登录站点，并保留了登录凭证。站点接收到请求后，对请求进行验证，并确认是受害者的凭证，误以为是无辜的受害者发送的请求。攻击完成，攻击者在受害者不知情的情况下，冒充受害者完成了攻击。 随着互联网的发展，各种Web应用变得越来越复杂，满足了用户的各种需求的同时，各种网络安全问题也接踵而至。作为前端工程师的我们也逃不开这个问题，今天...
摘要：前言一直以来自己对安全方面的知识了解的比较少，最近有点闲工夫了解了一下。攻击的一般是由服务端解决。攻击条件登录受信任网站，并在本地生成。验证对所有引用对象的授权。 前言 一直以来自己对WEB安全方面的知识了解的比较少，最近有点闲工夫了解了一下。也是为了以后面试吧，之前就遇到过问WEB安全方面的问题，答的不是很理想，所以整理了一下！ 一、XSS攻击 跨站脚本攻击(Cross Site Sc...
摘要：前言一直以来自己对安全方面的知识了解的比较少，最近有点闲工夫了解了一下。攻击的一般是由服务端解决。攻击条件登录受信任网站，并在本地生成。验证对所有引用对象的授权。 前言 一直以来自己对WEB安全方面的知识了解的比较少，最近有点闲工夫了解了一下。也是为了以后面试吧，之前就遇到过问WEB安全方面的问题，答的不是很理想，所以整理了一下！ 一、XSS攻击 跨站脚本攻击(Cross Site ...
阅读 529·2021-11-24 10:30
阅读 1057·2021-09-24 09:48
阅读 2924·2021-09-24 09:47
阅读 3426·2019-08-29 17:11
阅读 2777·2019-08-29 15:38
阅读 2178·2019-08-29 11:03
阅读 3492·2019-08-26 12:15
阅读 879·2019-08-26 10:45
