跨站脚本攻击有几种，应该怎样做好防御？
发布时间：2023-04-11 11:05:40 所属栏目：安全 来源：
导读：一、跨站脚本攻击类型：
（1）持久性跨站:跨站代码存储在服务器(数据库)中,是最直接的危害类型。
（2）非持久型跨站：反射型跨站脚本漏洞最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。
（1）持久性跨站:跨站代码存储在服务器(数据库)中,是最直接的危害类型。
（2）非持久型跨站：反射型跨站脚本漏洞最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。
|
一、跨站脚本攻击类型： （1）持久性跨站:跨站代码存储在服务器(数据库)中,是最直接的危害类型。 （2）非持久型跨站：反射型跨站脚本漏洞最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。 （3）DOM跨站（DOM XSS）:DOM(document object model文档对象模型)，客户端脚本处理逻辑导致的安全问题。 如果您想了解更多相关问题，可以访问php中文网。) 二、如何预防？ 从网站开发者角度，如何防护XSS攻击? 对XSS最佳的防护应该结合以下两种方法： 1、验证所有输入数据，有效检测攻击； 2、对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行。 具体如下： 输入验证：在某个数据被接受为可被显示或存储之前，使用标准输入验证机制，验证所有输入数据的长度、类型、语法以及业务规则。 输出编码：数据输出前，为了确保相同的用户提交的数据已被适当地正确进行entity编码，通常建议对所有可用的字符进行编码而不仅局限于某个字符集的子集。 明确指定输出的编码方式：不要允许攻击者为你的用户选择编码方式(如ISO 8859-1或 UTF 8)。 注意黑名单验证方式的局限性：仅仅查找或替换一些字符(如"<" ">"或类似"script"的关键字)，很容易被XSS变种攻击绕过验证机制。 警惕规范化错误：验证输入之前，必须进行解码及规范化以符合应用程序当前的内部表示方法。请确定应用程序对同一输入不做两次解码。 从网站用户角度，如何防护XSS攻击? 当你打开一封Email附件、浏览论坛帖子时，可能恶意脚本会自动执行，因此，在做这些操作时一定要特别谨慎。建议在浏览器设置中关闭JavaScript。如果使用IE浏览器，将安全级别设置到“高”。 这里需要再次提醒的是，XSS攻击其实伴随着社会工程学的成功应用，需要增强安全意识，只信任值得信任的站点或内容。可以通过一些检测工具进行xss的漏洞检测。针对xss的漏洞带来的危害是巨大，如有发现，应立即修复漏洞。2、不要轻易下载、安装、使用任何第三方软件。这些软件可能存在恶意代码，会导致系统崩溃，甚至造成用户财产损失。 （编辑：聊城站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐
