谢品章

摘要：DOM（文檔对象模型）型XSS（跨站攻击）漏洞是XSS漏洞的其中一种类型。在Web应用程序中这种漏洞出现的场景、攻击方式和危害程度都可能不同，为有效防范WEB应用程序被基于DOM型XSS漏洞攻击，提高WEB应用程序的安全性，文章对利用该漏洞实施攻击的步骤，以及攻击的技巧进行了分析，并在此基础上提出检测DOM型XSS漏洞的方法和防范措施。

关键词：XSS漏洞；攻击方法；防范措施；漏洞利用；WEB安全

迄今为止，互联网的应用已经影响到人们生活的方方面面，其中基于WEB的应用是当今最为广泛的互联网应用之一，然而，WEB的安全问题一直威胁人们正常使用互联网。XSS漏洞是WEB应用程序中比较常见的漏洞之一，利用XSS漏洞对WEB应用程序实施攻击很容易，很广泛，也很难发现和预防，XSS漏洞已经被人们视为WEB应用程序面临的最主要的安全威胁之一。XSS有三种类型，文章主要是分析基于DOM型XSS漏洞攻击与防范技术。

1基于DoM型XSS漏洞攻击的步骤

利用基于DOM型XSS漏洞攻击就是攻击者事先构造含有恶意脚本代码的链接，设法让用户点击，用户一旦点击这些链接之后，恶意脚本就在用户的浏览器运行，如果用户的浏览器端没有设置任何的防范措施，那么攻击者就可以轻而易举地窃取用户的隐私信息，如COOKIE等。具体攻击实施步骤如下图1。

①被攻击用户在登陆WEB应用程序时，输入的用户名，密码等就被保存在cookie中。

②攻击者将精心构造的含有恶意脚本的链接发给用户。

③被攻击者在没有任何防范措施的情况下点击了这些含有恶意脚本的链接。……