第四章：Web攻击原理（下）——XSS、CSRF、文件上传漏洞

三种常见的攻击方式

上一章我们讲了SQL注入——攻击者把代码塞进数据库查询语句里，骗数据库执行。这一章我们讲另外三种常见的Web攻击：XSS、CSRF和文件上传漏洞。

这三种攻击的目标不同、手法不同，但有一个共同点：它们都利用了网站对用户输入“过于信任”这个毛病。

XSS：跨站脚本攻击

什么是XSS？

XSS的全称是跨站脚本攻击（Cross-Site Scripting）。这个名字很拗口，但它的本质很简单：攻击者把一段恶意脚本（通常是JavaScript）注入到网页里，当其他用户访问这个网页时，这段脚本就会在他們的浏览器里执行。

用人话解释一下。

你开了一家留言板网站，用户可以在这里写任何内容。有一天，有个用户没有写“你好”，而是写了一段JavaScript代码，内容是“把访问者的Cookie发送到我的服务器”。你的网站没有做任何过滤，直接把这段代码存进了数据库。

从此以后，每个访问这个留言板的用户，浏览器都会自动执行这段代码，把自己的Cookie悄悄发给了攻击者。

攻击者拿到你的Cookie，就可以冒充你登录这个网站。

XSS的三种类型

反射型XSS是最常见的一种。攻击者把恶意脚本放在一个链接里，比如http://example.com/search?q=<script>恶意代码</script>，然后诱骗用户点击这个链接。当用户点击后，网站把<script>原样返回并在浏览器执行。这种攻击是一次性的，不会存进数据库。

存储型XSS危害更大。攻击者的恶意脚本被永久存储在服务器上（比如存在留言板、评论区、个人简介里）。每个访问这个页面的用户都会中招。这就是前面举例的那种。

DOM型XSS稍微特殊一点。它不经过服务器，纯粹是前端JavaScript自己拼接内容时出了问题。比如从URL里取出参数，直接写到页面上，中间没有任何过滤。

XSS能做什么？

XSS能做的事情非常多。窃取用户的Cookie是最基础的。偷走用户在网站上的所有隐私信息、截屏、记录键盘输入、弹窗钓鱼、强制关注某个账号、甚至发动更大规模的攻击。在JavaScript的能力范围内，XSS几乎可以做任何事。

一个直观的比喻

想象一下，你在办公室里贴了一张公告，上面写着“下午三点开会”。如果有个同事在公告下面贴了一张纸条，写着“请所有人把工牌交给小张”，然后你每次看到公告都以为这是真的，就把工牌给了别人。

XSS就是那个贴纸条的人。网页是公告板，用户的浏览器是看到公告的人。浏览器分不清“网站自己写的内容”和“攻击者塞进去的内容”。

CSRF：跨站请求伪造

什么是CSRF？

CSRF的全称是跨站请求伪造（Cross-Site Request Forgery）。它和XSS经常被搞混，但两者的攻击方向完全相反。

简单来说：XSS是攻击者在网页里植入恶意脚本；CSRF是攻击者诱导用户去执行一个用户本人不想做的操作。

用人话解释一下。

你登录了银行网站，银行网站的服务器记住了你的登录状态（通过Cookie）。这时候你点开了一个攻击者发的恶意链接。这个链接向银行网站发起了一个转账请求，比如http://bank.com/transfer?to=hacker&amount=10000。

因为你的浏览器访问银行网站时，会带上你的Cookie，服务器看到这个请求是“你”发起的，就真的转了1万块钱给攻击者。

你什么都没做，钱就被转走了。

CSRF的核心条件

CSRF能成功需要同时满足三个条件。

第一，你已经登录了目标网站，浏览器里存着有效的Cookie或Token。第二，目标网站没有对请求的来源做校验，比如没有要求“确认密码”或“二次验证”。第三，攻击者能诱导你点击一个链接或访问一个恶意页面。

这三个条件在现实生活中很容易同时满足。很多人登录网站后就不退出了，一天都保持登录状态。这就给了CSRF可乘之机。

CSRF的典型攻击场景

除了转账，CSRF还可以做很多事：修改密码（把攻击者自己的手机号绑上去）、修改邮箱地址（让密码重置邮件发到攻击者邮箱）、发表恶意内容（用你的账号在论坛里发广告）、取消订单、发货地址篡改等等。

只要是网站提供的功能，CSRF都有可能“代替”你去执行。

XSS vs CSRF：一张表看懂

文件上传漏洞

什么是文件上传漏洞？

很多网站允许用户上传文件：头像、附件、简历、图片等等。文件上传漏洞的意思是：攻击者上传了一个本不该被上传的文件类型，并且服务器把它当成了可执行文件来处理。

结果是，攻击者上传了一个“木马文件”，服务器乖乖地接受了。然后攻击者访问这个文件，木马被执行，服务器被控制。

攻击者是怎么做的？

正常情况下，一个图片上传功能只允许.jpg、.png等图片格式。攻击者会想尽办法绕过这个限制。

最简单的情况是网站根本没有做任何检查。攻击者直接上传一个shell.php，里面写着一行代码“执行服务器上的任何命令”。然后访问这个文件，就可以在服务器上执行命令了。

稍微有点防护的网站会检查文件扩展名。但攻击者可以双写扩展名，比如shell.jpg.php；可以大小写绕过，比如shell.PhP；可以利用服务器解析漏洞，比如shell.php.jpg（某些旧版本Apache会把.jpg后缀的文件当作PHP解析，如果文件名里出现过.php）。

更高级的绕过手段还包括：修改文件Content-Type（把application/x-php改成image/jpeg）、图片马（把恶意代码塞进一张正常的图片里）、压缩包上传（上传一个包含恶意文件的zip，期望服务器自动解压）等等。

文件上传漏洞的后果

最直接的后果是获取服务器控制权。攻击者上传一个Webshell（一种通过网页就能执行服务器命令的后门），然后就可以在服务器上：查看所有文件、修改所有数据、删除所有内容、安装勒索病毒、把服务器变成挖矿肉鸡、用这台服务器去攻击其他网站。

如果这台服务器还能访问内网，攻击者就可以以此为跳板，入侵公司内部的其他机器。

一个看似无害的“上传头像”功能，可能成为整个公司安全的突破口。

真实世界的例子

某知名招聘网站的简历上传功能，允许用户上传PDF和Word文件。攻击者上传了一个伪装成简历的恶意文件，服务器自动解析时触发了漏洞，攻击者成功拿到了服务器的控制权限。这个漏洞被公开后，数百万份求职者的简历信息被窃取。

三种攻击的共同本质

XSS、CSRF、文件上传漏洞看似各不相同，但它们的本质是一样的：网站没有正确地处理用户输入。

这一章你该记住什么

第一，XSS是把恶意脚本注入网页，让其他用户的浏览器执行。窃取Cookie是最常见的用途。

第二，CSRF是诱导已登录用户发起恶意请求，代替用户执行操作。转账、改密码、改邮箱都有可能。

第三，XSS和CSRF的区别：XSS在网页里下毒，CSRF在网页外诱导。两者攻击方向相反，但都利用了网站对“用户”的信任。

第四，文件上传漏洞是允许攻击者上传恶意可执行文件。后果往往是最严重的——直接拿到服务器控制权。

第五，这三种攻击的共同本质：网站错误地信任了用户提供的内容。只要区分“用户数据”和“可执行代码/操作”，就能理解它们为什么危险。

下一章，我们将进入现代Web安全的核心：现代登录是怎么被绕过的？——JWT、OAuth、Cookie与Token安全。