Web 安全防御指南：CSP、HttpOnly 与 XSS Filter 深度解析

XSS 跨站 — 安全防御：CSP / HttpOnly / XSSFilter

下面整理了三类常见的 XSS 防御技术：CSP（Content Security Policy）、HttpOnly Cookie 与基于过滤/编码的 XSS 过滤器，包含原理、实践配置、实验提示与常见绕过/注意点。

一、CSP（Content Security Policy 内容安全策略）

内容安全策略是一种可信白名单机制，用于限制页面中可加载或执行的来源。浏览器根据网站返回的 CSP 头部决定允许哪些资源执行或加载，等于把执行/加载权限交给浏览器以白名单方式控制。

主要作用：

启用示例（PHP）：

header("Content-Security-Policy: default-src 'self'; img-src 'self' https://cdn.example.com; script-src 'self'; report-uri /csp-report-endpoint");

优点：浏览器端强制执行、能显著降低攻击面。
缺点/限制：旧浏览器支持不完整；错误配置可能导致页面功能失效；某些绕过技巧（例如通过允许的第三方脚本链路）仍然可能被利用。

参考与绕过研究：

原理：将敏感 cookie 标记为 HttpOnly 后，客户端 JavaScript 不再能通过 document.cookie 读取该 cookie，从而防止基于 XSS 的窃取（常用于会话 cookie）。

配置示例（PHP）：

; php.ini
session.cookie_httponly = 1

// 在代码中设置
ini_set("session.cookie_httponly", 1);
setcookie('SESSIONID', $value, time()+3600, '/', '', false, true); // 最后一个 true 表示 HttpOnly

注意与绕过：

HttpOnly 无法阻止攻击者通过 XSS 发起操作（例如用 XSS 发起受害者的授信操作），但能阻止 JS 直接读取 cookie。
已知绕过案例较少但存在（例如极老的浏览器漏洞 CVE-2012-0053、某些 phpinfo 泄露/页面回显、Flash/Java 插件交互等），因此 HttpOnly 只是降低风险的手段之一。
结合 Secure、SameSite 与短会话时长使用，能进一步强化安全性。

思路：在服务端或前端检查并处理用户输入，针对危险字符（如 <, >, ', " 等）进行实体化或移除危险片段。

实现方式：

实验与绕过示例（来自靶场/实战）：

无过滤：<script>alert()</script>
部分实体化/回显："> <script>alert()</script> <"
全部实体化但事件属性可用：' onfocus=javascript:alert() '
采用大小写绕过匹配："> <sCript>alert()</sCript> <"
字符双写/混淆绕过："> <a hrehreff=javasscriptcript:alert()>x</a> <"
Unicode/实体编码绕过：&#x006a&#x0061&#x0076&#x0061&#x0073&#x0063&#x0072&#x0069&#x0070&#x0074&#x003a&#x0061&#x006c&#x0065&#x0072&#x0074&#x0028&#x0029（拼接 javascript:alert()）
属性闭合利用：?t_sort=" onfocus=javascript:alert() type="text

更多绕过技巧与案例：