csrf & xss

csrf (Cross-site request forgery) 伪造请求会话、cookie注入

　　1.可以通过document.cookie="JSESSIONID=123456789"; //设置tomcat默认的会话cookie名称,值为要注入的会话cookie

　　2.直接登陆url，就拿到了另一个会话。

防范方法：

　　　　1.检查http头的referer (这个值也可以伪造)

　　　　2.检查客户端IP(如果功击者和被害者通过同一路由上网公网IP一样)

　　　　3.添加token，每请求一次更改一次服务端token，token还可以防止重复提交。

 

xss (cross site scripting) 跨站脚本攻击

　　比如说在留言版输入留言 <script>location=http://www.baidu.com</script>，当别人打开有这条留言的网页时，浏览器页面跳转到了baidu.com

防范方法：

　　前端表单验证+后台表单验证+特殊字符过滤或转义

　　这个方法还可以防范sql注入