如何预防 xss,xsrf攻击

最新推荐文章于 2024-03-19 11:00:00 发布
最新推荐文章于 2024-03-19 11:00:00 发布
阅读量185 收藏
点赞数
分类专栏： javascript 文章标签： javascript
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xinxin_zhu/article/details/105345254
版权

1.xss攻击（cross-site scripting跨域脚本攻击）

情景：浏览网页 恶意脚本执行 获取cookie信息 获取信息

处理：< 用 &lt;> 用 &gt;  替换

2.xsrf 攻击（cross-site request forgery:夸站请求伪造)

情景： <img src='/重要信息'> 在用户登陆时 诱惑登录点击连接 发送cookie

处理： 使用post 接口  加验证信息 token   referer验证  隐藏令牌

 

 

 

xinxin_zhu
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
XSS(跨站脚本攻击)详解
谢公子的博客
09-08 7万+
目录 XSS的原理和分类 XSS的攻击载荷 XSS可以插在哪里？ XSS漏洞的挖掘 XSS的攻击过程 XSS漏洞的危害 XSS漏洞的简单攻击测试 反射型XSS： 存储型XSS： DOM型XSS： XSS的简单过滤和绕过 ​XSS的防御 反射型XSS的利用姿势 get型 post型 利用JS将用户信息发送给后台 XSS的原理和分类 跨站脚本攻击XSS(Cros...
如何预防 XSS 攻击 和 XSRF 攻击
lq_1999的博客
01-19 609
http://localhost:8080/xxs.html
前端XSS与XSRF攻击与防范
JimmyLLLin的博客
03-02 407
XSS攻击:只要输入的JS在页面中以不符合开发者的预期进行运行都属于XSS攻击。例如：文本框输入、URL输入等 XSS攻击防范： 1.通过转义来解决，使得<script>的"<"或">"转义为其它符号，显示时再由其它符号变回原状。 2.XSS攻击很大程度上是为了获取cookie以盗取登录状态，可以在服务端设置cookie参数http-only使得客户端无法读取cookie...
【安全】如何预防XSRF跨站请求伪造？
Milk~每天分享一点点，技术进步一点点
07-20 259
XSRF跨站请求伪造 场景： 你正在购物，看中某个商品，商品id是100 付费接口是xxx.com/pay?id=100,但没有任何验证 我是攻击者，我看中一个商品，id是200 我现在想干嘛呢？现在想让你去给我买。怎么办呢？ 我向你发送一封电子邮件，邮件标题很吸引人 但邮件正文隐藏着<img src=xxx.com/pay?id=200 /> （id变为攻击者的商品） 你一查看邮件，就帮我购买了id是200的商品 为什么会这样呢？ 很关键的原因：你现在正在购物，肯定已经登录了.com
【 安全】什么是CSRF攻击？如何避免？开发的时候怎么预防？
最新发布
m0_59598029的博客
03-19 2366
CSRF定义： 跨站请求伪造（英语：Cross-site request forgery）是一种对网站的恶意利用，也被称为 one-click attack或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。CSRF跨站点请求伪造(Cross—Site Request Forgery) 跟XSS攻击一样，存在巨大的危害性。
xss之fetch()函数的利用
weixin_50464560的博客
08-17 647
https://legoc.github.io/2019/01/26/xss%E5%88%A9%E7%94%A8%E4%B9%8Bfetch/ 前言偶然间发现某站有个漏洞 因为有WAF不好利用，我之前是不知道能咋利用， 然后大佬说能XSS利用，叫我写个fetch利用， 我？？？？？ 试着去学fetch这个东西了 于是有了此文 正文首先看看说明文档那个样子 https://segmentfault.com/a/1190000007019545 大致理解了 然后发出一个fetch的post请求 也就是这个样子
XSS、CSRF攻击以及预防手段
南栀的博客
03-12 4886
文章目录XSS反射型持久型DOM型XSS如何防御？CSRF XSS XSS全程Cross Site Scripting，名为跨站脚本攻击，是一种常见于 Web 应用中的计算机安全漏洞。 恶意攻击者往 Web 页面里嵌入恶意的客户端脚本，当用户浏览此网页时，脚本就会在用户的浏览器上执行，进而达到攻击者的目的。 比如获取用户的 Cookie、导航到恶意网站、携带木马等。 攻击者对客户端网页注入的恶意脚本一般包括 JavaScript，有时也会包含 HTML 和 Flash。 有很多种方式进行 XSS 攻击，但它
XSS及CSRF攻击防御
zl的博客
08-17 1万+
一、概念： XSS攻击全称跨站脚本攻击(Cross Site Scripting); CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF; 二、XSS 什么是 XSS ？ XSS (Cross Site Scripting)，即跨站脚本攻击，是一种常见于...
前端安全之xss与xsrf
qq_41801117的博客
03-27 4397
提到前端安全，往往离不开xss(跨站脚本攻击)、xsrf(跨站伪造请求)，在此记录一下关于前端安全的学习过程。 什么是xss？ 跨站脚本攻击(Cross Site Scripting)，为了不和css(层叠样式表)混淆，故记为xss。其原理是利用用户对某个指定网站的信任，被恶意用户进行了web攻击(通常这种攻击会利用js实现)。 简单攻击场景 某用户A逛网站时发现某可以分享文章的论坛，非常感兴趣，写下以下文章 用户A：你好，我是用户A，<script>alert(3)</script&gt
springboot后端实现防御xSRF攻击的策略代码.zip
02-10
本包中，含有2个实现springboot后端实现防御xSRF攻击的策略代码，具体使用，还需要看您的具体场景，进行区分使用！CSRFInterceptor.java、XSRFHandlerInterceptor.java
XSS与CSRF（XSRF）对比思考
软件生命周期中的攻防博弈
08-27 3287
（学习笔记，个人总结，不足之处请多多指导。） XSS和CSRF有很多相似也有很多不同。相似的是他们都能实现身份盗用（冒充），用户信息盗用（盗号）等，不同之处总结如下： 1. 原理不同 XSS攻击基于HTML注入+社会工程学（欺骗用户点击执行恶意代码）实现攻击； CSRF攻击源于WEB隐式身份验证机制，在浏览网页（或其他操作）时自动完成；        这种机制可以验证
【XSS之Session安全（一）】
满脸猪头肉
09-11 1260
【首先是啰嗦】 XSS对Session的利用主要有两种：Session劫持和CSRF，先谈前者。 关于通过XSS劫持Session的原理和实验可以参考一下几篇文章： http://www.2cto.com/Article/201411/355266.html   http://www.cnblogs.com/dolphinX/p/3403027.html 原理很简单，攻击实验也很好实
XSS跨站脚本攻击(一)----XSS攻击的三种类型
热门推荐
fendo
12-27 12万+
一、简介 什么是XSS? 百度百科的解释: XSS又叫CSS  (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。 它与SQL注入攻击类似，SQL注入攻击中以SQL语句作为用户输入，从而达到查询/修改/删除数据的目的，而在x
跨站脚本攻击（XSS）
我欲乘风破浪
05-24 480
目录 什么是XSS攻击 恶意代码是怎么注入的 存储型XSS攻击 反射性XSS攻击 基于DOM的XSS攻击 如何阻止XSS攻击 服务器对输入脚本进行过滤或者转码 充分利用CSP 使用HttpOnly属性 我们默认页面中可以引用任意第三方资源，然后又引入了CSP策略来加以限制；默认XMLHttpRequest和Fetch不能跨站请求资源，然后又通过CORS策略来支持其跨域。 不支持页面中的第三方资源引用和CORS也带来了许多问题，其中最典型的就是XSS攻击 什么是XSS攻击 XS.
面试宝典-浏览器交互常见问题汇总
老男孩的博客
11-05 665
学习目标 一次完整的http服务过程 能够说出一次完整的http服务的几个阶段 能够说出html的渲染过程 能够说出常见的http请求状态码 http缓存控制 能够理解http缓存控制 主要是指浏览器缓存 知道强缓存和协商缓存 知道http强缓存的控制字段 知道协商缓存的配置方式和各自的优缺点 fetch与axios 理解fetch和axios分别是什么？ 掌握fetch的优缺点 掌握axios的优缺点 浏览器内多个标签页之间的通讯 知道浏览器多个标签页通讯的常见使用场景
详解 XSS 攻击
我是张跑跑
03-08 1481
文章目录XSS 攻击1. 前言2. 反射型(url)3. 存储型（表单）4. DOM型（onerror）5. 防御方案 XSS 攻击 1. 前言 XSS (Corss Site Scripting)也即跨站脚本攻击，攻击出现的原因一般是因为 Web 程序对用于的输入过滤不足导致的一种漏洞，攻击者可以把恶意的脚本代码注入到网页之中，当其他用户浏览时就会执行其中的恶意代码，对受害者产生各种攻击。XSS 一般分为三种类型： 反射型，存储型，DOM型 2. 反射型(url) 反射型 XSS 攻击的恶意脚本并没有被存
如何防止XSRF攻击
02-08 426
XSRF全称是 cross-site request forgery（跨站点请求伪造），也称为CSRF，是一种常见的web攻击方式。 攻击形式描述如下： 1.用户登录并访问一个正常的站点 http://www.biz.com; 2.在同一个浏览器实例下，用户打开了恶意网站 http://www.bad.com;(至于用户怎么会打开这个恶意网站，可能是恶意网站通过一些链接或者垃圾邮件等等形式诱...
XSRF 的攻击与防范
dingbenji5337的博客
12-27 364
官方定义 CSRF（Cross-site request forgery跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而XSRF则通过伪装来自受信任用户的请求来利用...
Csrf攻击与防止
八点半技术站
11-05 1万+
CSRF 的全称是“跨站请求伪造”，而 XSS 的全称是“跨站脚本”。看起来有点相似，它们都是属于跨站攻击——不攻击服务器端而攻击正常访问网站的用户，但前面说了，它们的攻击类型是不同维度上的分 类。CSRF 顾名思义，是伪造请求，冒充用户在站内的正常操作。 我们知道，绝大多数网站是通过 cookie 等方式辨识用户身份（包括使用服务器端 Session 的网站，因为 Session ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值