xss攻击与防范

xss攻击方式以及防范

通常来说,网站一般都是有着,用户注册,用户登录,实名认证等等这些需要用户把信息录入数据库的接口

xss找的就是这种接口,他们可以在传递数据的时候,传递恶意的  script  代码,如果你就这样插到数据库里面去了

那么恭喜你,中招了,但是此刻你还没有gg     如果他刚提交的时候,你碰巧在浏览数据库,看到了他,在没执行脚本之前删掉了

并且加了防范,那就没事了

 

那么它是怎么执行的呢?

在提交到你数据库之后,如果你把数据拿了出来,并且在前端遍历了出来,那么恭喜你,它成功执行了,在此之前,你都是安全的

 

执行之后会造成什么后果?

 执行了之后,你就相当于在你当前页面加载了一个js文件,js文件是怎么写的嘛,这就得看攻击的那个人了,正常来说,他会获取

你当前的所有信息,当前网址,登录cookie等信息,从而通过模拟发送cookie信息,登录进你的后台,给你一个惊喜

 

 

那应该怎么防范勒?

相信很多人都已经想到了,验证特殊字符呗,没错,就是验证特殊字符,如果说对方提交:<script  src = “xxx.cn”></script>

那么在写入数据库前,做一个特殊字符串处理的话,那它就失效了,代码如下:

$a = "我是<script  src = “xxx.cn”></script>"//特殊字符处理
var_dump(htmlspecialchars(addslashes($a)));
//最后输出:我是&lt;script src=//xxx.cn&gt;&

 

珍爱生命,远离网络攻击,平时做好防范,不然真遇到了,你会找漏洞找到烦死的

posted @ 2020-03-13 17:53  钧一  阅读(284)  评论(0编辑  收藏  举报