跨站腳本 (XSS) 攻擊是 Web 應用程式中的常見漏洞，其中最危險的類型之一是基於 DOM 的 XSS。當網頁的文檔物件模型 (DOM) 被操縱以執行惡意腳本時，就會發生這種形式的 XSS。在本部落格中，我們將探討基於 DOM 的 XSS、它的工作原理，以及如何使用真實的範例程式碼保護您的應用程式免受這些攻擊。
基於 DOM 的 XSS 是一種 XSS 攻擊，其漏洞存在於客戶端程式碼而非伺服器端程式碼。當 Web 應用程式使用來自不受信任來源的資料（例如使用者輸入）並將其寫入 DOM 而不進行適當的驗證或轉義時，就會發生這種情況。這可能導致在網頁上下文中執行惡意腳本，從而使攻擊者能夠竊取資料、劫持會話等。
讓我們分解一個簡單的場景來了解攻擊者如何利用基於 DOM 的 XSS：
存在漏洞的 Web 應用程式範例
考慮一個簡單的網頁，它使用來自 URL 哈希的使用者輸入來顯示問候訊息。
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>DOM-based XSS Example</title>
</head>
<body>
<div id="message"></div>
<script>
// Assume user input is taken from the URL hash
var userInput = window.location.hash.substring(1);
// Directly inserting user input into the DOM
document.getElementById('message').innerHTML = "Hello, " + userInput + "!";
</script>
</body>
</html>
1。製作惡意 URL： 攻擊者可以製作在 URL 雜湊中包含惡意 JavaScript 程式碼的 URL。例如：
https://xyz.com/#<script>alert('XSS');</script>
2。共享惡意 URL： 攻擊者與潛在受害者共享此 URL，受害者可能會毫不懷疑地點擊它。攻擊者可以透過電子郵件、社交媒體或任何其他方式分發此連結。
3。利用漏洞： 當受害者存取惡意 URL 時，Web 應用程式會從 URL 雜湊中提取值並將其插入 DOM 中。惡意腳本在網頁上下文中執行。
結果： 受害者會看到一個帶有訊息「XSS」的警報框，表示腳本已執行。在真正的攻擊中，惡意腳本可能會執行竊取 cookie、捕獲擊鍵或將使用者重定向到網路釣魚網站等操作。
<script>
// User visits: https://xyz.com/#<script>alert('XSS');</script>
var userInput = window.location.hash.substring(1);
document.getElementById('message').innerHTML = "Hello, " + userInput + "!";
// This results in: Hello, <script>alert('XSS');</script>!
// The alert will pop up
為了防止基於 DOM 的 XSS，請遵循以下最佳實務：
1。清理和轉義使用者輸入： 在將任何使用者輸入插入 DOM 之前，請務必清理和轉義任何使用者輸入。使用 DOMPurify 等程式庫來清理 HTML。
<script src="https://cdnjs.cloudflare.com/ajax/libs/dompurify/2.2.8/purify.min.js"></script>
<script>
var userInput = window.location.hash.substring(1);
// Sanitize the user input
var sanitizedInput = DOMPurify.sanitize(userInput);
// Insert sanitized input into the DOM
document.getElementById('message').innerHTML = "Hello, " + sanitizedInput + "!";
</script>
2。使用安全的 DOM 操作方法：不要使用innerHTML，而是使用更安全的方法，如textContent或createElement和appendChild。
<script>
var userInput = window.location.hash.substring(1);
var messageDiv = document.getElementById('message');
// Create a text node with the user input
var textNode = document.createTextNode("Hello, " + userInput + "!");
// Append the text node to the message div
messageDiv.appendChild(textNode);
</script>
3。內容安全策略 (CSP)： 實作強大的 CSP 以限制可以載入和執行腳本的來源。
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self';">
基於 DOM 的 XSS 是一種嚴重的安全風險，可能會危及您的 Web 應用程式和使用者資料。透過遵循清理和轉義使用者輸入、使用安全 DOM 操作方法以及實施強大的內容安全策略等最佳實踐，您可以顯著降低基於 DOM 的 XSS 攻擊的風險。
保持警惕並確保您的 JavaScript 應用程式免受這些漏洞和其他漏洞的影響。如果您有任何疑問或需要進一步協助，請隨時在下面的評論中聯繫。
以上是保護您的 JavaScript 應用程式免受基於 DOM 的 XSS 攻擊的詳細內容。更多資訊請關注PHP中文網其他相關文章！
