Web安全问题——XSS攻击

什么是XSS攻击？

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、VBScript、ActiveX、Flash或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。

攻击原理：

HTML是一种超文本标记语言，通过将一些字符特殊地对待来区别文本和标记，例如，小于符号（<）被看作是HTML标签的开始，<title>与</title>之间的字符是页面的标题等等。当动态页面中插入的内容含有这些特殊字符（如<）时，用户浏览器会将其误认为是插入了HTML标签，当这些HTML标签引入了一段JavaScript脚本时，这些脚本程序就将会在用户浏览器中执行。所以，当这些特殊字符不能被动态页面检查或检查出现失误时，就将会产生XSS漏洞。

解决方案：

1. 将重要的cookie标记为http only，这样的话JavaScript中的document.cookie语句就不饿能获取到cookie了。
2. 只允许用户输入我们期望的数据。（主要针对的是一些数据类型）
3. 对数据进行Html Encode处理
4. 过滤或移除的Html标签，例如：<script>，<iframe>，&lt；for<,&gt;for>,&quot for
5. 过滤JavaScript事件的标签。例如 "οnclick=" "onfocus"等等。