97辅助网是全网最大的辅助网,每天更新原创辅助资源。请记住唯一域名:www.97fzw.cn

Web安全之XSS攻防

发布:97辅助网2019-7-24 0:33分类: WEB安全

1. XSS的定义
跨站脚本攻击(Cross Site Scripting),缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的。

2. XSS的原理
攻击者对含有漏洞的服务器发起XSS攻击(注入JS代码)。
诱使受害者打开受到攻击的服务器URL
受害者在Web浏览器中打开URL,恶意脚本执行。
3. XSS的攻击方式
(1)反射型: 发出请求时,XSS代码出现在URL中,作为输入提交到服务器端,服务器解析后响应,XSS随响应内容一起返回给浏览器,最后浏览器解析执行XSS代码,这个过程就像一次发射,所以叫反射型XSS

(2)存储型: 存储型XSS和反射型的XSS差别就在于,存储型的XSS提交的代码会存储在服务器端(数据库,内存,文件系统等),下次请求目标页面时不用再提交XSS代码。

4. XSS的防御措施
(1)编码:对用户输入的数据进行HTML Entity编码
 20170418160547231.png
(2)过滤:移除用户上传的DOM属性,如onerror等,移除用户上传的style节点,script节点,iframe节点等。

(3)校正:避免直接对HTML Entity编码,使用DOM Prase转换,校正不配对的DOM标签。

来源:97辅助网 转载注明出处!

温馨提示如有转载或引用以上内容之必要,敬请将本文链接作为出处标注,谢谢合作!