杨勇,胡勇（四川大学电子信息学院，成都　610065）

基于跨站脚本的路由设备跨域攻击模型

杨勇,胡勇
（四川大学电子信息学院，成都610065）

0　引言

路由设备有连接局域网和广域网实现不同网络互相通信的作用，同样也起到数据处理、网络管理等安全作用。类似于广泛重视和研究的Web服务器漏洞，路由设备如路由器、Wi-Fi等管理平台也同样存在漏洞，攻击者可以通过跨站脚本攻击绕过路由设备的网络访问管理，从而禁用或改变它的功能设置，使攻击者获得访问权限并展开进一步的攻击。因此，必须防止路由设备的跨站脚本攻击，保证其安全。

跨域攻击指的是利用网站存在的前端安全漏洞或跨域安全设置缺陷进行的Web攻击。传统的安全思维是按资产、功能优先保护核心业务等，非核心业务的安全等级一般没有核心业务高，但跨域Web攻击可以从一般域攻击到核心域。

1　路由设备脚本类攻击威胁分类

路由设备特别是路由器、Wi-Fi接入点存在的脚本漏洞威胁有下面几种。

1.1跨站脚本攻击（XSS）

跨站脚本攻击[2-3]，是Web前端的攻击，当用户浏览该网页时，嵌入网页的恶意代码就会被执行，从而达到攻击者攻击的目的。XSS攻击类型分为反射型和存储型[1]。通过跨站脚本攻击可以获取操作权限、提权、针对性挂马等。

1.2CSRF（Cross-Site Request Forgery）跨站请求伪造

CSRF与XSS攻击方式差异很大。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击不多，正因为如此，对其进行防范的资源也相当稀少，使其变得难以防范，所以被认为比XSS更具危险性。……