ASP.NET温故而知新学习系列之网站安全技术—预防脚本攻击（二）

     阅读目录

　　一：脚本攻击

　　二：模拟脚本攻击

　　三：运行效果

　　四：预防脚本攻击的主要方法

　　一：脚本攻击

　　脚本攻击是指将恶意的字符插入到网页中来，浏览器无法验证这些插入的字符，并且会将它们作为网页的一部分进行处理

　　从浏览器的角度来看，网页只是一个长的字符串，浏览器会按照顺序处理这个字符串，在此过程中，会显示某些字符，同时按照某些规则解释其他字符如：<script>，如果恶意用户将某些特殊字符插入到网页中来，则浏览器不知道这些特殊字符不应该处于该位置，而将它们作为页面的一部分处理起来

　　假如现在有个用户在TextBox中输入恶意代码如：<script>alert('我进来了，我是来攻击你的');</script>，我们单击一个按钮在Lable控件上显示用户输入的内容，单击按钮就会弹出一个提示框，这种情况被称为脚本攻击

　　二：模拟脚本攻击

　　ScriptAttack aspx.aspx

　　using System;
　　using System.Collections.Generic;
　　using System.Linq;
　　using System.Web;
　　using System.Web.UI;
　　using System.Web.UI.WebControls;

　　namespace EPG.WebAdmin.Security
　　{
    　　public partial class ScriptAttack_aspx : System.Web.UI.Page
    　　{
        　　protected void Page_Load(object sender, EventArgs e)
        　　{

        　　}

        　　protected void btnOK_Click(object sender, EventArgs e)
        　　{
          　　  this.Label1.Text = this.txtInput.Text;
        　　}
   　　 }
　　}

　　三：运行效果

　　界面设计

　　

　　提交按钮后

　　

 

　　四：预防脚本攻击的主要方法

　　预防脚本攻击的主要方法是决不信任用户录入的信息，在网页上显示用户录入的字符串之前，应对其进行HTML编码

　　我们对其进行HTML编码后，发现以前“<script>alert('我进来了，我是来攻击你的');</script>”中的“<”被替换为“&lt;”了，“>” 被替换为“&gt;”了，“'”被替换为了“&#39;”

　　protected void btnOK_Click(object sender, EventArgs e)
      {
          　　  this.Label1.Text =  Server.HtmlEncode(this.txtInput.Text);
      }

　　单击按钮后

 　　

　　查看源文件