常见Web安全漏洞及其防御

最新推荐文章于 2024-12-10 15:03:55 发布

木棉上的光

最新推荐文章于 2024-12-10 15:03:55 发布

阅读量1.4k

点赞数 2

分类专栏：安全文章标签： Web安全

本文链接：https://blog.csdn.net/qq_41594698/article/details/102720788

版权

本文深入探讨了Web安全领域的常见漏洞，包括XSS攻击、SQL注入、Http请求防盗链、CSRF攻击、忘记密码漏洞和上传文件漏洞。对于XSS，介绍了如何通过过滤特殊字符防止攻击；SQL注入防御建议使用MyBatis中的#符号；防盗链通过检查Referer字段防止资源被盗用；CSRF防御涉及API接口幂等性设计，推荐使用Token机制；忘记密码时，建议使用图形验证码和增加验证码长度；上传文件漏洞的修复措施包括限制文件类型、校验文件流等。

摘要由CSDN通过智能技术生成

常见Web安全漏洞及其防御

1.1 XSS攻击

1.1.1 什么是XSS攻击手段

XSS攻击其实就是使用Javascript脚本注入进行攻击，因为浏览器默认支持脚本语言执行，如果在表单提交的时候，提交一些脚本参数，浏览器可能就直接执行了

攻击常见与论坛的评论

例如“提交表单后，展示到另一个页面”这个功能，可能会受到XSS脚本注入，本地cookie被读取，远程发送给黑客服务器端，然后可以伪造来发起请求

还可能会被<script>window.location.href='http://www.pdc.com';</script>这样的脚本重新定位，钓鱼网站就是这个思路，跳转到脚本里面的网站后，根据url里的银行卡账号密码，就把钱转到自己户下了

1.1.2 如何防御XSS攻击

将脚本特殊字符，如<、>，转换成html源代码(&lt为<)进行展示。

过程：编写一个过滤器拦截所有getParameter参数，重写httpservletwrapp方法，将参数特殊字符转换成html源代码保存，如>转换为&gt进行展示，这样就能防止XSS攻击了

// 重写HttpServletRequestWrapper 防止XSS攻击
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
   
    
	private HttpServletRequest request;

	/**
	 * @param request
	 */
	public XssHttpServletRequestWrapper(HttpServletRequest request) {
   
		super(request);
		this.request = request;
	}

	@Override
	public String getParameter(String name) {
   
		// 过滤getParameter参数 检查是否有特殊字符
		String value = super.getParameter(name);
		System.out.println("value:" + value);
		if (!StringUtils.isEmpty(value)) {
   
			// 将中文转换为字符编码格式，将特殊字符变为html源代码保存
			value = StringEscapeUtils.escapeHtml(value);
			System.out.println("newValue:" + value);
		}
		return value;
	}
}