跨站攻击XSS和CSRF_跨站脚本攻击的是ssrf吗?-CSDN博客

本文链接：https://blog.csdn.net/qq_33794744/article/details/107838443

1.含义

跨站脚本攻击（XSS，是Cross Site Scripting的缩写），一旦网站允许用户提交内容，并且会在网站的某些页面上显示用户提交的内容，比如留言或者博客，那么不做防范的话，就有可能受到跨站脚本攻击。恶意用户会在提交内容时在内容中夹带一些恶意JavaScript脚本，当其他用户访问页面时，浏览器会运行这些恶意脚本，恶意脚本有可能会窃取用户的Cookie、页面上的用户隐私信息等，并发送到恶意用户的服务器。他们可以通过这些窃取来的信息模拟用户身份完成非法操作。这就是跨站脚本攻击。
跨站请求攻击（CSRF，是Cross Site Request Forgery的缩写），当用户登录了自己信赖的网站后，用户身份信息（token）会被保存保存在用户的浏览器上，后来用户又不小心打开了一个恶意网站，这个恶意网站可能会要求浏览器请求用户信赖的网站（通过iframe等形式），如果用户信赖的网站没有做安全防范的话，可能会被恶意网站获取到用户的敏感信息（token），从而给用户带来伤害。

2.如何防御

XSS攻击场景：比如在正常发表文章，或评论他人文章时，注入恶意脚本。待他人查看时触发恶意脚本达到攻击目的

1. 通过注入的标签事件触发<body onload="alert('xss')"></body>
<p onclick="alert('1')" style="postion:fixed;width:100%;heith:100%"> </p>
<input onfocus="alert('1')" autofocus/>2. 通过注入的带有src属性的标签触发
<iframe src="http://www.xss.com/xss.html"></iframe>
 <iframe src="data:text/html,<script>alert('1')</script>"></iframe>
<iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgnMScpPC9zY3JpcHQ+"></iframe>