xxs漏洞危害_PHP开发中经常遇到的Web安全漏洞防御详解

程序员需要掌握基本的web安全知识，防患于未然，你们知道有多少种web安全漏洞吗？这里不妨列举10项吧，你们可以自己去网站找相应的教程来提升自己的1、命令注入(Command Injection)2、eval注入(Eval Injection)3、客户端脚本攻击(Script Insertion)4、跨网站脚本攻击(Cross Site Scripting, XSS)5、SQL注入攻击(SQL injection)6、跨网站请求伪造攻击(Cross Site Request Forgeries, CSRF)7、Session 会话劫持(Session Hijacking)8 Session 会话固定(Sessionfixation)9、HTTP响应拆分攻击(HTTP Response Splitting)10、文件上传漏洞(File Upload Attack)

这篇文章主要给大家介绍最经常遇到的3个：XXS，CSRF, SQL注入。一、XSS漏洞1.XSS简介
XSS(Cross Site Scripting)，意为跨网站脚本攻击，为了和样式表css(Cascading Style Sheet)区别，缩写为XSS。攻击者主要使用跨站点脚本来读取Cookie或网站用户的其他个人数据。一旦攻击者获得了这些数据，他就可以假装是该用户登录网站并获得该用户的权限。2.跨站点脚本攻击的一般步骤
1，攻击者以某种方式将xss http链接发送给目标用户
2.目标用户登录该网站并打开攻击者在登录过程中发送的xss链接。
3.网站执行了这个xss攻击脚本
4.目标用户页面跳转到攻击者的网站，攻击者获得了目标用户的信息
5.攻击者使用目标用户的信息登录网站以完成攻击3. XSS攻击的危险
1.窃取用户信息，例如登录帐户，网上银行帐户等。
2.使用用户身份读取，篡改，添加，删除公司敏感数据等
3.重要商业价值数据的盗窃
4.非法转移
5.强制电子邮件
6.网站挂马
7，控制受害者的机器对其他网站发起攻击

4.防止XSS解决方案
1)XSS的根本原因是客户端提交的数据未完全过滤，因此重点是过滤用户提交的信息。
2)将重要的cookie标记为http only，因此js中的document.cookie语句将不会获取cookie。
3)仅允许用户输入我们期望的数据。例如：年龄 age只允许用户输入数字，数字外的字符被过滤掉。
4)对数据进行Html编码处理：当用户提交数据时，将其进行HTML编码，并且在下一次处理之前，将相应的符号转换为实体名称。
5)过滤或删除特殊的HTML标签，例如：

xxs漏洞危害_PHP开发中经常遇到的Web安全漏洞防御详解相关推荐

Node.js中的不安全跳转如何防御详解
为什么80%的码农都做不了架构师?>>> Node.js中的不安全跳转如何防御详解导语: 早年在浏览器大战期间,有远见的Chrome认为要运行现代Web应用,浏览器必须有一个 ...
Android开发中内存、内部存储、外部存储详解
手机是有两个内存的.2G和16G同时出现在一个手机中,2G是指运行内存,16G是指存储内存. 手机的内存,分两种,一个是存储内存,相当于电脑的硬盘,一般手机参数里超过4G的都是指这个.存储内存是可以扩 ...
STC8H开发(一): 在Keil5中配置和使用FwLib_STC8封装库(图文详解)
目录 STC8H开发(一): 在Keil5中配置和使用FwLib_STC8封装库(图文详解) STC8H开发(二): 在Linux VSCode中配置和使用FwLib_STC8封装库(图文详解) ST ...
gzdeflate函数_PHP中的gzcompress、gzdeflate、gzencode函数详解
这篇文章主要介绍了PHP中的gzcompress.gzdeflate.gzencode函数详解,本文深入分析了它们的相同点和不同点,需要的朋友可以参考下 PHP中存在一组看起来很像的压缩解压函数: 压 ...
java8 方法引用详解_Java8中如何通过方法引用获取属性名详解
前言在我们开发过程中常常有一个需求,就是要知道实体类中Getter方法对应的属性名称(Field Name),例如实体类属性到数据库字段的映射,我们常常是硬编码指定属性名,这种硬编码有两个缺点. ...
四.卡尔曼滤波器(EKF)开发实践之四: ROS系统位姿估计包robot_pose_ekf详解
本系列文章主要介绍如何在工程实践中使用卡尔曼滤波器,分七个小节介绍: 一.卡尔曼滤波器开发实践之一: 五大公式二.卡尔曼滤波器开发实践之二: 一个简单的位置估计卡尔曼滤波器三.卡尔曼滤波器(EK ...
new Date将字符串转化成日期格式兼容IE，ie8如何通过new Date将字符串转化成日期格式，js中如何进行字符串替换， replace() 方法详解
new Date将字符串转化成日期格式兼容IE,ie8如何通过new Date将字符串转化成日期格式,js中如何进行字符串替换, replace() 方法详解 //获得年月日时分秒 //传入日期// ...
java 串口 dtr rts_串口(RS232 RS485等)通讯中RTS/CTS，DTR/DSR的含义详解
串口(RS232 RS485等)通讯中RTS/CTS,DTR/DSR的含义详解先贴出缩写的含义: DTR – Data Terminal Ready DSR – Data Set Ready RTS ...
IOS开发环境更换后重新制作Provisioning Profile证书详解
IOS开发环境更换后重新制作Provisioning Profile证书详解新换了台Macbook,又折腾了一遍Provisioning Profile证书,苹果的证书繁锁复杂,每次制作都相当麻烦, ...

xxs漏洞危害_PHP开发中经常遇到的Web安全漏洞防御详解

xxs漏洞危害_PHP开发中经常遇到的Web安全漏洞防御详解相关推荐

最新文章

热门文章