js注入使用詳解

這次帶給大家js注入使用詳解，js注入使用的注意事項有哪些，下面就是實戰案例，一起來看一下。

最近剛出了新聞，阿里四名網路安全部門員工利用網頁漏洞寫js腳本搶月餅，於是興致來了，想了解一下這個js腳本到底怎麼寫，各種刷單各種搶槍搶又是怎麼實現的。 

什麼是javascript注入攻擊？

1.每當接受使用者輸入的內容並重新顯示這些內容時，網站就很容易遭受 JavaScript 注入攻擊。讓我們研究一個容易遭受 JavaScript 注入攻擊的具體應用程式。假設已經創建了一個客戶回饋網站。客戶可以造訪網站並輸入對產品的回饋資訊。當客戶提交回饋時，回饋訊息會重新顯示在回饋頁面上。
客戶回饋網站是一個簡單的網站。不幸的是，此網站容易遭受 JavaScript 注入攻擊。
假設正在將以下文字輸入到客戶回饋表單中： 

<script>alert(“Attack!”)</script> 

#此文字表示顯示警告訊息方塊的JavaScript 腳本。在某人將此腳本提交到客戶回饋表單後，訊息Attack! 會在將來任何人造訪客戶回饋網站時顯示。

2.還有一種就是在瀏覽器網址列輸入一段js程式碼，用來改變頁面js變數、頁面標籤的內容。 

使用Javascript注入，使用者不需要關閉或儲存網頁就可以改變其內容，這是在瀏覽器的網址列上完成的。指令的語法如下： 

javascript:alert(#command#)

例如，如果你想在http://www.example.com網站上看到一個alert警告框，那麼先在網址列上輸入URL並等待頁面載入完成，然後刪掉URL並輸入： 

javascript:alert("Hello World")

作為新的URL。這將彈出一個「Hello World」警告框，使用這項技術幾乎可以改變網頁的任何內容，例如圖片。假設有一張網站logo圖片，我們透過查看頁面原始檔找到其中一段HTML程式碼： 

#圖片被命名為“hi”，原始檔案是“hello.gif”，我們想要把它改成儲存在我們網站（http://www.mysite.com）上的“bye.jpeg”文件，因此圖片完整的URL位址是http://www.mysite.com/bye.jpeg，使用Javascript注入， 我們只需要在網址列上輸入： 

javascript:alert(document .hi.src="http://www.mysite.com/bye.jpeg")

#你將會看到彈出「http://www.mysite.com/bye.jpeg 「alert警告，然後圖片就被更改了。需要注意的是，這些更改只是暫時的！如果你刷新頁面或重新進入，你的更改將會消失，因為你只是在你的PC作了這些更改，而不是在網頁伺服器上。

使用相同的方法我們可以查看或更改變數的值，例如我們在網頁上找到一段這樣的程式碼： 

<SCRIPT LANGUAGE="JavaScript">
var a="test"
</SCRIPT>

意思是變數a的值為“test”，現在我們輸入： 

javascript:alert(a) 

然後我們將其值改為“hello”： 

#javascript:alert(a="hello")

Javascript注入通常被用來更改表單屬性，假設有一段這樣的程式碼： 

<form name="format" action="send.php" method="post">
<input type="hidden" name="mail" value="someone@somewhere.com">
<input type="text" name="name">
<input type="submit" value="submit"></form>

我們想讓表單發送到我們的郵箱，而不是someone@somewhere.com。可使用以下指令： 

javascript:alert(document.format.mail.value="me@hacker.com")

•也许你已经注意到了这些命令的层次关系：
 •我们按照从左到右的顺序依次说明：
 •1)最左边是document
 •2)然后是我们想要更改的对象名(比如document.hi.src)或其包含的对象(比如document.format.mail.value)
 •3)最后是我们想要更改的属性(比如源路径:document.hi.src，或变量值:document.format.mail.value)
 •4)使用“.”号分隔
 •5)当我们想要更改属性值的时候，我们使用“=”号和新的属性值
 •*注释:当新的属性值为字符串时(比如:document.format.mail.value="me@hacker.com")需要用双引号把它括起来。
 •如果我们想要把它作为一个变量的值，则不需要使用双引号""。例如我们想要将变量b的值赋予变量a，我们可以输入javascript:alert(a=b)。
 •但是,页面中的大部分标签都没有名字，比如： 

<form action="send.php" method="post">
<input type="hidden" name="mail" value="someone@somewhere.com">
<input type="text" name="name">
<input type="submit" value="submit"></form>

在这段代码中没有表单名，综合上面这些信息，可以使用此命令： 

javascript:alert(document. .mail.value="me@hacker.com")

在这种情况下我们必须统计并找出表单序号，下面是一个例子： 

<form action="send.php" method="post">
<input type="text" name="name">
<input type="submit" value="submit">
</form>
<form action="send.php" method="post">
<input type="hidden" name="mail" value="someone@somewhere.com">
<input type="text" name="name">
<input type="submit" value="submit">
</form>
<form action="send.php" method="post">
<input type="text" name="name">
<input type="submit" value="submit">
</form>

•在以上代码中我们看见了3个表单，但我们只对第二个感兴趣，因此我们想要的表单序号就是2。不要忘记我们是从1开始计算的,比如1,2,3,4...而javascript却从0开始计算，比如0,1,2,3...所以真正的表单序号是1，不是2，通常我们要把找到的表单序号减一。我们将用这个序号来补全我们的命令:

javascript:alert(document.forms[1].mail.value="me@hacker.com")

•这样你就可以更改没有名字的图片或链接了，你可以把“forms”换成任何你想要的标签类型。对于图片就是 

javascript:alert(document.images[3].src="#the url of the picture you want#")

对于链接就是 

javascript:alert(document.links[0].href="#the url you want#")

 最后，我们可以用这个技巧来编辑cookies。下面的命令由triviasecurity.net的Dr_aMado编写，我只修改了一点点，让它在用户编辑之前显示出来。你只要把它们复制到地址栏就可以了：

javascript:alert(window.c=function a(n,v,nv){c=document.cookie;c=c.substring(c.indexOf(n)+n.length,c.length);
c=c.substring(1,( (c.indexOf(";")>-1) ? c.indexOf(";") : c.length));nc=unescape(c).replace(v,nv);
document.cookie=n+"="+escape(nc);return unescape(document.cookie);});
alert('The cookie is: "'+document.cookie+'"');alert(c(prompt("The name of the cookie:",""),
prompt("Change this value:",""),prompt("with this:","")))

//如果你想要手动更改你的cookie，可以使用下面这条命令：

javascript:alert(document.cookie)

这将显示你的当前cookie，假设是“userid=1”，如果你想把它改成“userid=2”，可以使用下列命令：

javascript:alert(document.cookie="userid=2")

最后我必须强调的是，所有的更改都只是在客户端！就像是把网页保存在你的PC上然后修改它。尽管如此，使用这一技巧你仍然可以欺骗页面(例如cookies)或绕过安全验证。例如一些网页会检测用户发送数据的位置，如果从http://www.test.com/form.php发送数据到http://www.test.com/check.php，check.php可能会检测数据是否来自http: //www.test.com/form.php上的表单。除此之外，如果你打算在页面中输入你自己的JavaScript代码，通过使用一些这样的技巧，你将能够更改图片并保持不变！

最后的最后，既然js注入这么可怕，我们自己写的网站有什么解决办法来防止js注入呢？ 

方法一：

阻止 JavaScript 注入攻击的一种简单方法是重新在视图中显示数据时，用 HTML 编码任何网站用户输入的数据
如：<%=Html.Encode(feedback.Message)%>
使用 HTML 编码一个字符串的含意是什么呢？使用 HTML 编码字符串时，危险字符如 < 和 > 被替换为 HTML 实体，如 < 和 >。所以，当使用 HTML 编码字符串 <script>alert("Boo!")</script> 时，它将转换为 <script>alert("Attack!")</script>。浏览器在解析编码的字符串时不再执行 JavaScript 脚本。而是显示无害的页面。 

方法二：

除了在視圖中顯示資料時使用 HTML 編碼數據，還可以在將資料提交到資料庫之前使用 HTML 編碼資料。

StringEscapeUtils.escapeHtml（"前台提交的資料"); 

#通常，人們喜歡使用本教程中討論的第一種方法，而不喜歡使用第二種方法。第二種方法的問題在於在資料庫中最終會保留 HTML 編碼的資料。換言之，資料庫中的資料會包含奇怪的字元。這有什麼壞處呢？如果需要以網頁以外的形式顯示資料庫數據，則會遇到問題。例如，不能輕易在 Windows Forms 應用程式中顯示資料。

相信看了本文案例你已經掌握了方法，更多精彩請關注php中文網其它相關文章！

推薦閱讀：

!=、== 、!==、===使用總結

##JS中時間單位比較的方法
#

以上是js注入使用詳解的詳細內容。更多資訊請關注PHP中文網其他相關文章！