web安全防范之XSS漏洞攻击

近期在cnode社区，由@吴中骅的一篇关于XSS的文章，直接招致了社区的人开始在cnode尝试各种 突击  。这里总结了一下这次碰到的一些问题与解决 方案  。

文件上传 漏洞

之前nodeclub在上传图片的时候逻辑是这样的：

//消费者上传的文件名  
var filename = Date.now() + _ + file.name;  
//消费者文件夹  
var userDir = path.join(config.upload_dir, uid);  
//最后文件
保留的路径  
var savepath = path.join(userDir, filename);  
//将消费者上传的文件从暂时目录移动到最后
保留路径  
fs.rename(file.path, savepath, callback);  
 

看上去 如同没有问题，每个人上传的文件都 存放在以消费者UID命名的一个文件夹内，而且以目前的 工夫戳作前缀  。然而当有消费者 歹意 构造输入的时候，问题就浮现了  。当消费者上传的文件filename为/../../xxx的时候，上传的文件就会rename到消费者文件夹之外，招致消费者 可以替换现有系统上的任何文件  。

这个 漏洞 绝对来说十分的低级，然而 后果却是最严峻的，直接招致整个系统都可能被消费者操纵  。修复的 步骤也很 方便：

var filename = Date.now() + _ + file.name;  
 
var userDir = path.join(config.upload_dir, uid);  
 
//猎取最后
保留到的绝对路径  
var savepath = path.resolve(path.join(userDir, filename));  
//验证  
if (savepath.indexOf(path.resolve(userDir)) !== 0) {  
return res.send({status: forbidden});  
}  
fs.rename(file.path, savepath, callback);  
 

富文本编辑器的XSS

关于XSS，在@吴中骅的文章中已经十分 详尽的 形容了  。而cnode社区中，消费者发表话题和回复话题也是用的一个 支撑markdown 格局的富文本编辑器  。之前是没有做过任何XSS 提防措施的，于是...你 可以直接在里面写：

<script>alert(123);script> 
<div onmouseover="alert(123)">div> 
<a href="javascript:alert(123);">123a> 
 

而markdown 格局的内容也没有做URL有效性检测，于是各种 款式的XSS又出来了：

[xss][1]

[xss][2]

![xss][3]

[1]: javascript:alert(123);

[2]: http://www.baidu.com/#"onclick=alert(123)

[3]: http://www.baidu.com/img.jpg#"onmouseover=alert(123)

在社区这个 利用场景下，引入HTML标签只不过为了进行一些排版的操作，而 其余的 款式定义等等都只会让整个界面一团糟，更别说还有潜在的XSS 漏洞风险  。 因此，其实我们是不需求 支撑消费者输入HTML标签来进行内容排版的， 所有都 可以通过markdown来 接替  。 而后通过 方便 粗野的HTML escape，就 可以泯灭掉直接输入HTML招致的XSS风险  。

function escape(html) {  
return html.replace(/&(?!\w+;)/g, &)  
.replace(/g, <)  
.replace(/>/g, >)  
.replace(/"/g, ");  
} 

然而这样 粗野的进行escape，会招致消费者输入的代码里面的< > ;这些特别字符也被转义掉，不能正确显示，需求先将代码段提 存入来 保留，只转义非代码段的 部分  。于是这个escape函数变成了这样：

function escape(html) {  
var codeSpan = /(^|[^\\])(`+)([^\r]*?[^`])\2(?!`)/gm;  
var codeBlock = /(?:\n\n|^)((?:(?:[ ]{4}|\t).*\n+)+)(\n*[ ]{0,3}[^ \t\n]|(?='0))/g;  
var spans = [];  
var blocks = [];  
var text = String(html).replace(/\r\n/g, \n)  
.replace(/\r/g, \n);  
text = \n\n + text + \n\n;  
texttext = text.replace(codeSpan, function(code) {  
spans.push(code);  
return `span`;  
});  
text += '0;  
return text.replace(codeBlock, function (whole, code, nextChar) {  
blocks.push(code);  
return \n\tblock + nextChar;  
})  
.replace(/&(?!\w+;)/g, &)  
.replace(/g, <)  
.replace(/>/g, >)  
.replace(/"/g, ")  
.replace(/`span`/g, function() {  
return spans.shift();  
})  
.replace(/\n\tblock/g, function() {  
return blocks.shift();  
})  
.replace(/'0$/,)  
.replace(/^\n\n/, )  
.replace(/\n\n$/, );  
};  
 

而关于markdown生成的标签和标签中的href属性，必须要做URL有效性检测或者做xss的过滤  。这样 保障通过markdown生成的HTML代码也是没有XSS 漏洞的  。

由于XSS的 目的 确切 比较多，见XSS Filter Evasion Cheat Sheet  。 因此 可以做 粗野的HTML escape是最安全的，然而并不是每一个地方都 可以通过markdown来 接替HTML代码，所以不是每一个地方都能用HTML escape，这个时候就需求 其余的 目的来过滤XSS 漏洞了  。

XSS 提防不得不通过定义白名单的 模式，例如只同意