设计经典网站,网站建设中服务器的搭建方式,搜索关键词然后排名怎样提升,php网站开发 知乎CSRF#xff08;Cross-site request forgery#xff09;#xff1a;跨站请求伪造。 用户是网站A的注册用户#xff0c;且登录进去#xff0c;于是网站A就给用户下发cookie。
满足条件#xff1a; #xff08;1#xff09;登录受信任网站A#xff0c;并在本地生成Cook…CSRFCross-site request forgery跨站请求伪造。 用户是网站A的注册用户且登录进去于是网站A就给用户下发cookie。
满足条件 1登录受信任网站A并在本地生成Cookie。如果用户没有登录网站A那么网站B在诱导的时候请求网站A的api接口时会提示你登录 2在不登出A的情况下访问危险网站B其实是利用了网站A的漏洞。
常用解决方法 方法一Token 验证用的最多 1服务器发送给客户端一个token 2客户端提交的表单中带着这个token。 3如果这个 token 不合法那么服务器拒绝这个请求。
方法二隐藏令牌 把 token 隐藏在 http 的 head头中。
方法三Referer 验证 Referer 指的是页面请求来源。意思是只接受本站的请求服务器才做响应如果不是就拦截。
XSSCross Site Scripting跨域脚本攻击。 原理 XSS攻击的核心原理是不需要你做任何的登录认证它会通过合法的操作比如在url中输入、在评论框中输入 向你的页面注入脚本可能是js、hmtl代码块等。 最后导致的结果可能是盗用Cookie破坏页面的正常结构插入广告等恶意内容D-doss攻击
XSS攻击类型 反射型:发出请求时XSS代码出现在url中作为输入提交到服务器端服务器端解析后响应XSS代码随响应内容一起传回给浏览器最后浏览器解析执行XSS代码。这个过程像一次反射所以叫反射型XSS。 存储型:存储型XSS和反射型XSS的差别在于提交的代码会存储在服务器端数据库、内存、文件系统等下次请求时目标页面时不用再提交XSS代码。 DOM型:基于DOM型XSS是不需要与服务器端交互的它只发生在客户端处理数据阶段。
常用解决方法 1.编码 对用户输入的数据进行编码 2.移除用户输入的和事件相关的属性如onerror可以自动触发攻击还有onclick等。总而言是过滤掉一些不安全的内容移除用户输入的Style节点、Script节点、Iframe节点。尤其是Script节点它可是支持跨域的呀一定要移除。 3.矫正:避免直接对HTML Entity进行解码。使用DOM Parse转换校正不配对的DOM标签
CSRF 和 XSS 的区别 CSRF需要用户先登录网站A获取 cookie。XSS不需要登录。 CSRF是利用网站A本身的漏洞去请求网站A的api。 XSS是向网站 A 注入 JS代码然后执行 JS 里的代码篡改网站A的内容。
