<SCRIPT>

…

 var sData = document.location.search.substring(1);

 var sPos = sData.indexOf("url=") +4;

 var ePos = sData.indexOf("&", sPos);

 var newURL;

if (ePos<0) {

 newURL = sData.substring(sPos);

 } else {

 newURL = sData.substring(sPos, ePos);

 }

 window.location.href = newURL;

…

</SCRIPT>

　　可以看出，這些 JavaScript 腳本負責執行重定向，新地址是從 document.location、document.URL 或者 document.referer 等 DOM 元素的屬性值中截取出來的，譬如用戶輸入清單 6 所示。

 

　　清單 6. 執行重定向的 URL

 

http://www.vulnerable.site/redirect.html?url=http://www.phishing.site

　　顯然用戶一旦執行了清單 6 所示 URL，將被重定向到釣魚網站。這個漏洞的原理很簡單，比服務器端的重定向漏洞更好理解。但通過 URL 重定向釣魚的情況下，釣魚站點的網址并不會被服務端攔截和過濾，因此，這個漏洞往往比服務器端重定向漏洞更具有隱蔽性。

 

　　3、客戶端 JavaScript Cookie 引用

 

　　Cookie 通常由 Web 服務器創建并存儲在客戶端瀏覽器中，用來在客戶端保存用戶的身份標識、Session 信息，甚至授權信息等。客戶端 JavaScript 代碼可以操作 Cookie 數據。如果在客戶端使用 JavaScript 創建或修改站點的 cookie，那么攻擊者就可以查看到這些代碼，通過閱讀代碼了解其邏輯，甚至根據自己所了解的知識將其用來修改 cookie。一旦 cookie 包含了很重要的信息，譬如包含了權限信息等，攻擊者很容易利用這些漏洞進行特權升級等攻擊。

 

　　4、JavaScript 劫持

 

　　許多 Web 應用程序都利用 JSON 作為 Ajax 的數據傳輸機制，這通常都容易受到 JavaScript 劫持攻擊，傳統的 Web 應用程序反而不易受攻擊。JSON 實際上就是一段 JavaScript，通常是數組格式。攻擊者在其惡意站點的頁面中通過 <SCRIPT> 標簽調用被攻擊站點的一個 JSON 動態數據接口，并通過 JavaScript Function Hook 等技術取得這些 JSON 數據。如果用戶登錄被攻擊網站后（假定其身份認證信息是基于 Session Cookie 來保存的），又被攻擊者誘引訪問了惡意站點頁面，那么，由于 <SCRIPT src="> 這種標簽的請求會帶上 Cookie 信息，惡意站點會發送 JSON 數據獲取請求至被攻擊站點，被攻擊站點服務器會認為當前請求是合法的，并返回給惡意站點當前用戶的相關 JSON 數據，從而導致用戶數據泄密。整個過程相當于一個站外類型的跨站點請求偽造 CSRF 攻擊。

 

　　隨著 Ajax 的進一步推廣，以及 HTML5 的逐步應用，還有更多的客戶端安全漏洞出現。目前對于 JavaScript 的安全研究尚不多，新推出的 HTML5 客戶端存儲、跨域通信等新特型也都跟安全緊密相關，有興趣的讀者可以作進一步閱讀。鑒于筆者知識有限，JavaScript 相關安全漏洞暫且分享這么多，下面將談談 JavaScript 安全漏洞的檢測技術。

 

　　自動化檢測 JavaScript 安全漏洞

 

　　正如我們所熟知，檢測代碼安全漏洞一般有白盒檢查和黑盒檢查。白盒檢查側重于對代碼的分析，可以通過手工代碼審查，或者自動代碼分析工具。黑盒檢查主要是模擬黑客攻擊的方式進行滲透測試。通常而言，黑盒檢查的準確度高一些，但代碼覆蓋面比較小，而白盒檢查的代碼覆蓋率較高，但誤報率比較高。兩種方式相結合能夠互相彌補不足，混合檢查方式將會是未來的趨勢。

 

　　結合 JavaScript 代碼而言，出于跨瀏覽器兼容、更好的 Ajax 特性需求等原因，越來越多的 Web 應用依賴于第三方的 JavaScript 代碼庫，譬如 Dojo、JQuery 等。這些代碼庫為了降低文件大小，往往都進行了代碼壓縮，導致其可讀性極差，因此手工代碼審查幾乎不具備可行性。此外，頁面 JavaScript 調用入口很多，手工對其進行滲透測試的工作量和難度都非常大。因此，我們需要推薦使用自動化測試工具來檢測 JavaScript 安全漏洞。

 

　　Rational AppScan JSA 原理簡述

 

　　JSA 是 Rational AppScan Standard V8.0 新推出的一項 AppScan 擴展，用來進行執行靜態 JavaScript 分析，以檢測常見客戶端安全漏洞。JSA 融合了 JavaScript 靜態污點分析技術和網站動態爬蟲技術。簡而言之，AppScan 會保存爬蟲所探索到的所有 URL 的完整的 HTTP 響應，然后 JSA 對這些響應頁面逐個進行 JavaScript 代碼分析。JSA 在分析每個頁面時應用兩個階段：數據流分析和字符串分析。首先，JSA 查找從源(Source)到接收器(Sink)中未經過清除工具(Sanitizer)的軌跡。如果可找到此軌跡(Trace)，那么 JSA 將在第二步中使用字符串分析的變體——字符串前綴分析(SPA)進行驗證。相比于單純的 JavaScript 代碼靜態分析技術而言，JSA 技術更為先進和準確，因為它是在完全解析好的 HTML 頁面及 DOM 環境中進行安全漏洞分析。