跨站脚本攻击 (XSS) 是一种漏洞，攻击者可以利用它将恶意脚本注入网页，这些脚本随后会在其他用户的浏览器中运行，就好像它们本来就属于该网页一样。它一直被列为最危险的攻击之一。 OWASP顶级10而且，它仍然是攻击者窃取会话数据、劫持帐户或悄悄破坏应用程序与其用户之间信任的最常见方法之一。
SAST 工具是及早发现这些漏洞最有效的方法之一，它们可以扫描源代码，找出导致 XSS 漏洞溜走的具体模式，从而在代码部署到生产环境之前将其拦截。本文将介绍三种最常见的 XSS 类型，它们在实际代码中的表现形式，以及如何利用这些漏洞。 SAST 工具（加上一些编码规范）会在产品发布前将其关闭。
什么是 XSS 漏洞？为什么需要关心？
XSS漏洞是指应用程序接收未经信任的输入（例如用户输入、粘贴或通过URL传递的内容）后，在未进行适当验证或转义的情况下将其渲染回页面时发生的攻击。在这种情况下，攻击者可以将脚本伪装成普通文本，而浏览器无法区分：它会像处理页面其他内容一样，以相同的信任度和权限运行脚本。
这就是为什么即使底层漏洞通常很小，XSS 仍然很危险的原因。一个未经清理的输入字段就可能让攻击者窃取会话 cookie 并劫持已登录的帐户，悄无声息地将用户重定向到钓鱼页面，记录键盘输入，或者改写访客看到的内容，所有这些都无需直接接触您的服务器。漏洞完全存在于浏览器对应用程序自身输出的信任机制中。
这也是为什么 XSS 经常出现在 OWASP Top 10 中的原因：它不需要复杂的攻击链，只需要一个被忽略的输入，而且影响范围会扩展到加载受影响页面的每个用户。
揭秘 XSS 攻击：三种最常见的类型
1.存储型XSS：持续威胁
存储型 XSS 会在服务器上永久植入恶意脚本，因此对于之后查看受影响页面的每个用户，该脚本都会自动执行。
存储型 XSS 漏洞是指恶意脚本永久存储在服务器上（例如，在数据库中），并且在用户访问受影响页面时执行。
计费示例： 一个接受未经验证的用户输入的评论字段：
2. 反射型XSS：即时交付
反射型 XSS 存在于一个精心构造的链接中，脚本只有在受害者点击该链接时才会运行，通常是通过网络钓鱼或社会工程手段实现的。
反射型 XSS 是指恶意脚本嵌入 URL 中并在用户与链接交互时执行，通常通过网络钓鱼或社会工程学传递。
计费示例：
3.基于DOM的XSS：隐藏在浏览器中的攻击
基于 DOM 的 XSS 攻击根本不会触及服务器，恶意脚本完全在客户端执行，通过 JavaScript 错误处理页面内容。
在这种类型中，恶意脚本利用客户端 JavaScript 中的漏洞来操纵文档对象模型 (DOM)。
计费示例： 一段 JavaScript 代码片段，用于动态渲染未经清理的用户输入：
想知道你自己的代码库中已经存在多少这样的模式？Xygeni 的 SAST 扫描程序会自动标记存储型、反射型和基于 DOM 的 XSS 风险，防患于未然。 pull request.
创新中心 SAST 工具可以阻止XSS
静态应用安全测试 (SAST) 工具对于在软件开发生命周期的早期识别 XSS 漏洞非常有价值 (SDLC).
主要优点
在开发早期发现问题
SAST 在应用程序部署之前，工具会扫描源代码以查找易受攻击的模式。
已标记漏洞的示例：
安全替代方案：
分析整个代码库
现代 SAST 工具不仅仅分析自定义代码；它们还扫描依赖项和第三方库，检测隐藏的风险。
无缝集成 CI/CD
SAST 工具会自动扫描 XSS 漏洞 pull requests 并阻止不安全的代码被合并。
专注于最重要的事情
SAST 工具通过评估漏洞的可利用性和严重性来确定修复的优先级，使团队能够首先解决最关键的问题。
Xygeni 如何帮助您赢得对抗 XSS 的战斗
Xygeni 结合了静态分析、AI 驱动的漏洞修复和供应链可视化，弥合了发现 XSS 漏洞和实际修复漏洞之间的差距。其工作原理如下：
- Code Security (SAST): Xygeni 会在编写过程中扫描第一方代码，查找 XSS 和其他注入漏洞，并在部署前将其捕获。在 OWASP 基准测试中，Xygeni-SAST XSS 检测的真阳性率达到 100%，假阳性率极低。
- AI自动修复： 立即修复已标记的 XSS 漏洞，并提供可供开发人员使用的修复程序，生成 pull request 提供与您的代码库兼容的安全替代方案，无需手动修补。
- 恶意软件防御： 监控依赖项和第三方库中是否存在注入或被篡改的代码，因此隐藏在开源软件包中的漏洞模式不会逃过您的第一方代码审查。
- IDE 和 CI/CD 集成化： 在编写代码时直接在 IDE 中标记问题，并添加注释 pull requests 自动跨 GitHub、GitLab、Bitbucket、Azure DevOps 和 Jenkins 进行检查，从而从一开始就防止存在漏洞的代码被合并。
构建弹性应用程序：阻止跨站点脚本攻击的技巧
为了进一步保护您的应用程序，请同时实施这些做法 SAST 工具：
- 净化用户输入： 使用 DOMPurify 之类的库进行强大的清理。
- 编码输出： 在浏览器中呈现动态数据之前，务必对其进行编码。
- 实施内容安全政策 (CSP)： 将脚本执行限制在可信来源。
- 将代码审计设为持续性而非周期性： 与其安排人工审核，不如运行 Xygeni 的 SAST 扫描为 pre-commit 钩子或直接钩在你的 CI/CD pipeline （GitHub、GitLab、Bitbucket、Azure DevOps、Jenkins），所以每个 commit 会自动进行检查，不安全的代码永远不会被合并。
准备好保护您的应用程序免遭XSS攻击了吗？
XSS漏洞不一定会威胁到应用程序的安全。了解它们的工作原理，并用……捕获它们。 SAST 使用安全工具并遵循安全的编码实践，可以在攻击者发现漏洞之前，将您的风险降低到几乎为零。
At 西吉尼我们的系统旨在及早发现这些漏洞，优先处理真正重要的漏洞，并防止它们影响您的系统。 pipeline完全如此。
预约演示或者立即开始免费扫描您的二维码。
