本文解析 JavaScript 注入攻击（XSS）的原理，通过客户反馈场景演示恶意脚本如何窃取 Cookie 或表单数据。重点介绍 ASP.NET MVC 中的两种防护技术：视图中使用 Html.Encode 实时编码，以及提交前在 Controller 中编码。对比两种方法优劣，建议采用视图编码以避免数据库存储脏数据。
JavaScript 常被黑客用作攻击网站的手段，其中注入恶意 JavaScript 脚本是常见方式之一。接下来将探讨如何有效预防此类 JS 注入攻击，并分享具体的防护策略。
JavaScript 注入攻击原理与危害
JavaScript 注入攻击是指当网站接收用户输入并重新展示这些内容时，可能面临的漏洞风险。以客户反馈网站为例，用户访问页面并提交产品反馈，系统随后在反馈页面重新显示这些提交的内容，这一过程若处理不当，极易遭受攻击。
上述客户反馈网站结构虽简单，但存在明显的 JavaScript 注入漏洞。
假设用户在客户反馈表单中输入了以下文本内容：
<script>alert("Boo!")</script>
这段文本代表一个用于弹出警告消息框的 JavaScript 脚本。一旦有人将此脚本提交至反馈表单，未来任何访问该反馈页面的用户都会看到“Boo!”的警告弹窗。有人可能认为这仅是无害的恶作剧，但事实并非如此。
尽管 JavaScript 注入攻击看似轻微，但黑客可利用其进行恶意破坏。通过 JavaScript 注入，攻击者可执行跨站脚本（XSS）攻击。在 XSS 攻击中，攻击者能够窃取用户的保密信息，并将其发送至受控的另一网站。
例如，黑客利用 JavaScript 注入攻击窃取其他用户浏览器中的 Cookie 值。若浏览器 Cookie 中保存了密码、信用卡号或社会保险号码等敏感信息，黑客即可通过注入的 JS 脚本窃取这些数据。此外，若用户将敏感信息输入到受 JavaScript 攻击影响的页面表单中，黑客可通过注入的脚本获取表单数据并发送至外部网站。
务必高度重视此类风险，认真对待 JavaScript 注入攻击以保护用户隐私。接下来的两部分将介绍防止 ASP.NET MVC 应用程序遭受 JS 注入攻击的两种具体技术。
ASP.NET MVC 防护方案
方法一：在视图中进行 HTML 编码
防御 JavaScript 注入攻击的一种简单方法，是在视图中重新显示数据时，对用户输入的任何数据进行 HTML 编码处理。
具体实现如：<%=Html.Encode(feedback.Message)%>
HTML 编码字符串的含义是将危险字符（如 < 和 >）替换为对应的 HTML 实体（如 < 和 >）。例如，当对字符串 <script>alert("Boo!")</script> 进行 HTML 编码时，它将转换为 <script>alert("Boo!")</script>。浏览器在解析该编码字符串时，不再执行其中的 JavaScript 脚本，而是将其作为普通文本显示，从而呈现无害页面。
方法二：在写入数据库前进行 HTML 编码 除了在视图中显示数据时进行编码，还可以在数据提交到数据库之前，先对数据进行 HTML 编码。第二种方法对应于程序清单 4 中 Controller 的实现情况。
具体实现如下：
Controller 层编码实现
public ActionResult Create(string message)
{
// Add feedback
var newFeedback = new Feedback();
newFeedback.Message = Server.HtmlEncode(message);
newFeedback.EntryDate = DateTime.Now;
db.Feedbacks.InsertOnSubmit(newFeedback);
db.SubmitChanges();
// Redirect
return RedirectToAction(“Index”);
}
请注意，Message 的值在提交到数据库之前，已在 Create() 操作中经过 HTML 编码处理。当在视图中重新显示 Message 时，由于 Message 已被编码，因此不会执行注入到 Message 中的任何 JavaScript 代码。
两种方法的对比与建议
总结
通常，人们更倾向于使用本文讨论的第一种方法，而非第二种。第二种方法的问题在于，数据库中最终会存储经过 HTML 编码的数据，即数据库中包含特殊字符。这带来的负面影响是：如果需要以网页以外的形式（例如 Windows Forms 应用程序）显示数据库中的数据，将会遇到解析困难。
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持本站。