赵玉龙 张旋 刘梦瑶 李沁蕾

华中科技大学计算机科学与技术学院 湖北 430074

0 引言

随着Internet的发展，基于Web和数据库架构的应用系统已经逐渐成为主流，广泛应用于企业内部和外部的业务系统中。各种基于 Web 应用的业务模式不断成熟，但是各种网络安全事件也随之不断发生。据国家计算机网络应急技术处理协调中心(CNCERT/CC)的统计，2007年接收的网络仿冒事件和网页恶意代码事件，分别超出2006年总数的近1.4倍和 2.6倍；赛门铁克(Symantec)公司 2008年 4月发布的Symantec Internet Security Threat Report中提到，2007年下半年有超过80%的网站都或多或少地有着XSS漏洞；而2008年5月，我国大陆地区被篡改网站的数量就有6915个。近日，微软安全应急小组确认了微软SharePoint Server 2007产品中的严重的跨站脚本漏洞(XSS)的存在。各种Web 应用的安全事件严重影响了Web 应用的发展，其中基于XSS漏洞的攻击尤为严重。

1 XSS漏洞原理

随着各种网站程序设计及网站管理设置的安全程度越来越高，各类恶意的入侵攻击者都被阻挡在网站安全防线之外，攻击者想要入侵攻击某个网站服务器，是越来越困难的事情。于是攻击者的入侵目标转向了网站的浏览者。

由于HTML语言支持脚本语言嵌入页面中的机制，从而引发了脚本的安全问题。XSS(Cross-Site Scripting)是最常见的一种应用层的攻击。XSS 攻击基本上是将攻击代码注入到各种浏览器的解释过程中，同时利用 XSS 漏洞旁路调用访问控制——例如同源策略；这种攻击可以使用各种客户端语言实现，而且这种类型的漏洞往往被用来编写危害性更大的phishing攻击和利用浏览器漏洞的攻击。……