Web安全
XSS
跨站脚本攻击(Cross Site Scripting)
XSS攻击 原理和手段
表现
1.盗用cookie，获取敏感信息
2.破坏页面结构，插入恶意内容
3.分布式拒绝服务(DDoS:Distributed Denial of Service)
// 升级版 Dos攻击
4.server limit dos
// 存储超长cookie，导致请求头超长，用户无法访问
反射型
XSS代码出现在url中，服务端解析XSS代码，传回给浏览器
存储型
XSS脚本会存储在服务器端，下次不需要再提交XSS
XSS攻击 防范措施
- 对用户输入的数据进行HYML Entity编码
- 移除用户上传的事件属性，以及style，script，iframe节点
- 使用DOM Parse转换，校正不匹配的DOM标签
CSRF
CSRF（Cross-site request forgery）跨站请求伪造
CSRF 原理和手段
表现
攻击者盗用了你的身份，以你的名义发送恶意请求。
eg: 以你名义发送邮件，发消息，盗取你的账号，购买商品，虚拟货币转账
造成的问题包括：个人隐私泄露以及财产安全。
原理
- 登录受信任网站A，并在本地生成Cookie。
- 在不登出A的情况下，访问危险网站B。
CSRF 防范措施
服务端进行CSRF防御
- 验证 HTTP Referer 字段()
Referer记录了该 HTTP 请求的来源地址 - 在请求地址中添加 token 并验证
- 在 HTTP 头中自定义属性并验证
