CSS Injection

什么是CSS注入

你们对XSS攻击都很是熟悉了，可能不多关注到CSS注入攻击，如下行为有可能受到CSS注入攻击：

• 从用户提供的URL中引入CSS文件
• CSS代码中采用了用户的输入数据

能够看下如下两个例子
https://www.owasp.org/index.p...
http://www.thespanner.co.uk/2...

原理

CSS属性选择器让开发者能够根据属性标签的值匹配子字符串来选择元素。 这些属性值选择器能够作如下操做：
1.若是字符串以子字符串开头，则匹配；
2.若是字符串以子字符串结尾，则匹配；
3.若是字符串在任何地方包含子字符串，则匹配；
4.属性选择器能让开发人员查询单个属性的页面HTML标记，而且匹配它们的值。

而在实际环境中，若是一些敏感信息会被存放在HTML标签内，如CSRF token存储在隐藏表单的属性值中，这使得咱们能够将CSS选择器与表单中的属性进行匹配，并根据表单是否与起始字符串匹配，加载一个外部资源，例如背景图片，来尝试猜想属性的起始字母。经过这种方式，攻击者能够进行逐字猜解并最终获取到完整的敏感数值。

防护策略

想要解决这个问题受害者能够在其服务器实施内容安全策略（CSP），防止攻击者从外部加载CSS代码。

总结

做为前端开发者，咱们与用户最近，也是网络安全防御的第一道线，要时刻关注来自各方面的网络攻击，保障用户信息的安全。

参考文献

https://portswigger.net/kb/is...
https://www.freebuf.com/artic...
https://24ways.org/2018/secur...