网站攻击类型跨站攻击的解决方案

漏洞描述：

       跨站脚本攻击（Cross-site scripting，通常简称为XSS）发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、偷取密码、传播恶意代码等攻击行为。 恶意的攻击者将对客户端有危害的代码放到服务器上作为一个网页内容， 使得其他网站用户在观看此网页时，这些代码注入到了用户的浏览器中执行，使用户受到攻击。一般而言，利用跨站脚本攻击，攻击者可窃会话COOKIE从而窃取网站用户的隐私，包括密码。XSS攻击使用到的技术主要为HTML和Javascript，也包括VBScript和ActionScript等。XSS攻击对WEB服务器虽无直接危害，但是它借助网站进行传播，使网站的使用用户受到攻击，导致网站用户帐号被窃取，从而对网站也产生了较严重的危害。

 

漏洞危害： 

1、钓鱼欺骗：最典型的就是利用目标网站的反射型跨站脚本漏洞将目标网站重定向到钓鱼网站，或者注入钓鱼JavaScript以监控目标网站的表单输入，甚至发起基于DHTML更高级的钓鱼攻击方式。

2、网站挂马：跨站时利用IFrame嵌入隐藏的恶意网站或者将被攻击者定向到恶意网站上，或者弹出恶意网站窗口等方式都可以进行挂马攻击。

3、身份盗用：Cookie是用户对于特定网站的身份验证标志，XSS可以盗取到用户的Cookie，从而利用该Cookie盗取用户对该网站的操作权限。如果一个网站管理员用户Cookie被窃取，将会对网站引发巨大的危害。

4、盗取网站用户信息：当能够窃取到用户Cookie从而获取到用户身份使，攻击者可以获取到用户对网站的操作权限，从而查看用户隐私信息。

5、垃圾信息发送：比如在SNS社区中，利用XSS漏洞借用被攻击者的身份发送大量的垃圾信息给特定的目标群。

6、劫持用户Web行为：一些高级的XSS攻击甚至可以劫持用户的Web行为，监视用户的浏览历史，发送与接收的数据等等。

7、XSS蠕虫：XSS 蠕虫可以用来打广告、刷流量、挂马、恶作剧、破坏网上数据、实施DDoS攻击等。

修复方案：

我这里用的是阿里云的服务器；在云盾的安全监测中显示的跨站攻击类似这种

http://example.cn:80/example/example?jbid=''><scRipt>alert(98733)</sCript>

http://example.cn:80/example/example?jbid=-3306 UNION ALL SELECT CONCAT(0x716b756a71,0x4b5163596666574b5461,0x7170656b71)#

http://example.cn:80/example/example?videoid=1633 AND SLEEP(5)

等等情况；因为网站代码没有对接收参数数据进行过滤；给“坏银”可乘之机；

我是这么做的，在执行程序之前，

1、判断下接收到参数类型是不是你实际需要的参数类型；

2、以及内容的合法性判断；

3、只接收指定数量参数超过就理解为不合法或者攻击。

这些只是我自己想到的解决方案，可能不全面。希望可以帮助到更多人！