跨站脚本攻击的主要防御手段_网站跨脚本攻击预防

预防跨站脚本攻击

1 .对所有输入内容进行验证

1 .对所有输出数据进行适当处理，防止任何已经注入成功的脚本在浏览器端运行

如何防止跨站点脚本攻击

你好~

XSS漏洞产生的原因：

跨站点脚本的主要原因是程序猿对用户的信任。开发人员轻松地认为用户永远不会试图执行什么出格的事情,所以他们创建应用程序,却没有使用任何额外的代码来过滤用户输入以阻止任何恶意活动。另一个原因是,这种攻击有许多变体，用制造出一种行之有效的XSS过滤器是一件比较困难的事情。

但是这只是相对的，对用户输入数据的”编码”和”过滤”在任何时候都是很重要的，我们必须采取一些针对性的手段对其进行防御。

如何创造一个良好的XSS过滤器来阻止大多数XSS攻击代码

1 .需要重点”编码”和”过滤”的对象

The URL

HTTP referrer objects

GET parameters from a form

POST parameters from a form

Window.location

Document.referrer

document.location

document.URL

document.URLUnencoded

cookie data

headers data

database data

防御XSS有一个原则:

以当前的应用系统为中心，所有的进入应用系统的数据都看成是输入数据(包括从FORM表单或者从数据库获取到的数据)，所有从当前应用系统流出的数据都看作是输出(包括输出到用户浏览器或向数据库写入数据)

对输入的数据进行”过滤”，对输出数据进行”编码”。这里的”编码”也要注意，必须针对数据具体的上下文语境进行针对性的编码。例如数据是输出到HTML中的那就要进行HtmlEncode，如果数据是输出到javascript代码中进行拼接的，那就要进行javascriptEncode。

如果不搞清楚数据具体输出的语境，就有可能因为HtmlParser()和javascriptParser()两种解析引擎的执行先后问题导致看似严密的”编码”形同虚设。

2. HtmlEncode HTML编码

它的作用是将字符转换成HTMLEntities，对应的标准是ISO-8859-1

为了对抗XSS，在HtmlEncode中要求至少转换以下字符:

--

--

--

" -- "

' -- '

/ -- /

在PHP中:

htmlentities

htmlspecialchars

3. javascriptEncode javascript”编码”

javascriptEncode与HtmlEncode的编码 *** 不同，HtmlEncode是去编码，而javascriptEncode更多的像转义，它需要使用”\”对特殊字符进行转义。从原理上来讲，这都符合编码函数的一个大原则: 将数据和代码区分开，因为对于HTML Tag来说，我们对其进行”可视化(转换成可以见字符)”的编码可以将数据和HTML的界限分开。而对于javascript来说，我们除了要进行编码之外，还需要对特殊字符进行转义，这样攻击输入的用于”闭合”的特殊字符就无法发挥作用，从而避免XSS攻击，除此之外，在对抗XSS时，还要求输出的变量必须在引号内部，以避免造成安全问题。

escape()

该 *** 不会对 ASCII 字母和数字进行编码，也不会对下面这些 ASCII 标点符号进行编码： * @ – _ + . / 。其他所有的字符都会被转义序列(十六进制\xHH)替换。

利用这个编码函数，不仅能防御XSS攻击，还可以防御一些command注入。

一些开源的防御XSS攻击的代码库：

PHP AntiXSS

这是一个不错的PHP库,可以帮助开发人员增加一层保护，防止跨站脚本漏洞。

xss_clean.php filter

HTML Purifier

xssprotect

XSS HTML Filter

原文地址：

希望可以帮助到你~望采纳哦~谢谢~

预防跨框架脚本攻击

Cross Frame Script(跨框架脚本)攻击是利用浏览器允许框架(frame)跨站包含其它页面的漏洞，攻击者在恶意站点包含正常的登录页面，以监视、盗取用户输入

获取当前输入操作的域名（document.domain）和浏览器的当前域名（top.document.domain）对比，如果不一样，重新赋值该页面地址(top.location = '你的页面地址')

封装如下：