- XSS（Cross Site Script，跨站脚本攻击）是向网页中注入恶意脚本在用户浏览网页时在用户浏览器中执行恶意脚本的攻击方式。跨站脚本攻击分有两种形式：反射型攻击（诱使用户点击一个嵌入恶意脚本的链接以达到攻击的目标，目前有很多攻击者利用论坛、微博发布含有恶意脚本的URL就属于这种方式）和持久型攻击（将恶意脚本提交到被攻击网站的数据库中，用户浏览网页时，恶意脚本从数据库中被加载到页面执行，QQ邮箱的早期版本就曾经被利用作为持久型跨站脚本攻击的平台）。XSS虽然不是什么新鲜玩意，但是攻击的手法却不断翻新，防范XSS主要有两方面：消毒（对危险字符进行转义）和HttpOnly（防范XSS攻击者窃取Cookie数据）。
- SQL注入攻击是注入攻击最常见的形式（此外还有OS注入攻击（Struts 2的高危漏洞就是通过OGNL实施OS注入攻击导致的）），当服务器使用请求参数构造SQL语句时，恶意的SQL被嵌入到SQL中交给数据库执行。SQL注入攻击需要攻击者对数据库结构有所了解才能进行，攻击者想要获得表结构有多种方式：（1）如果使用开源系统搭建网站，数据库结构也是公开的（目前有很多现成的系统可以直接搭建论坛，电商网站，虽然方便快捷但是风险是必须要认真评估的）；（2）错误回显（如果将服务器的错误信息直接显示在页面上，攻击者可以通过非法参数引发页面错误从而通过错误信息了解数据库结构，Web应用应当设置友好的错误页，一方面符合最小惊讶原则，一方面屏蔽掉可能给系统带来危险的错误回显信息）；（3）盲注。防范SQL注入攻击也可以采用消毒的方式，通过正则表达式对请求参数进行验证，此外，参数绑定也是很好的手段，这样恶意的SQL会被当做SQL的参数而不是命令被执行，JDBC中的PreparedStatement就是支持参数绑定的语句对象，从性能和安全性上都明显优于Statement。
- CSRF攻击（Cross Site Request Forgery，跨站请求伪造）是攻击者通过跨站请求，以合法的用户身份进行非法操作（如转账或发帖等）。CSRF的原理是利用浏览器的Cookie或服务器的Session，盗取用户身份，其原理如下图所示。防范CSRF的主要手段是识别请求者的身份，主要有以下几种方式：（1）在表单中添加令牌（token）；（2）验证码；（3）检查请求头中的Referer（前面提到防图片盗链接也是用的这种方式）。令牌和验证都具有一次消费性的特征，因此在原理上一致的，但是验证码是一种糟糕的用户体验，不是必要的情况下不要轻易使用验证码，目前很多网站的做法是如果在短时间内多次提交一个表单未获得成功后才要求提供验证码，这样会获得较好的用户体验。
什么是XSS攻击？什么是SQL注入攻击？什么是CSRF攻击？
2018-07-25
1320
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《
阿里云开发者社区用户服务协议》和
《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写
侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：
XSS（Cross Site Script，跨站脚本攻击）是向网页中注入恶意脚本在用户浏览网页时在用户浏览器中执行恶意脚本的攻击方式。跨站脚本攻击分有两种形式：反射型攻击（诱使用户点击一个嵌入恶意脚本的链接以达到攻击的目标，目前有很多攻击者利用论坛、微博发布含有恶意脚本的URL就属于这种方式）和持久型攻击（将恶意脚本提交到被攻击网站的数据库中，用户浏览网页时，恶意脚本从数据库中被加载到页面执行，QQ邮箱的早期版本就曾经被利用作为持久型跨站脚本攻击的平台）。
目录
相关文章
|
16天前
|
JavaScript
安全
前端开发
同源策略如何防止 XSS 攻击？
【10月更文挑战第31天】同源策略通过对 DOM 访问、Cookie 访问、脚本执行环境和跨源网络请求等多方面的严格限制，构建了一道坚实的安全防线，有效地防止了 XSS 攻击，保护了用户在网络浏览过程中的数据安全和隐私。
84
49
49
|
13天前
|
SQL
安全
前端开发
|
13天前
|
存储
Web App开发
安全
如何防范 CSRF 攻击
CSRF（跨站请求伪造）攻击是一种常见的安全威胁。防范措施包括：使用Anti-CSRF Token、检查HTTP Referer、限制Cookie作用域、采用双重提交Cookie机制等，确保请求的合法性与安全性。
26
5
5
|
13天前
|
网络安全
数据安全/隐私保护
什么是 CSRF 攻击
CSRF（跨站请求伪造）攻击是指攻击者诱导用户点击恶意链接或提交表单，利用用户已登录的身份在目标网站上执行非授权操作，如转账、修改密码等。这种攻击通常通过嵌入恶意代码或链接实现。
28
2
2
|
20天前
|
安全
Go
PHP
Web安全进阶：XSS与CSRF攻击防御策略深度解析
【10月更文挑战第27天】本文深入解析了Web安全中的XSS和CSRF攻击防御策略。针对XSS，介绍了输入验证与净化、内容安全策略（CSP）和HTTP头部安全配置；针对CSRF，提出了使用CSRF令牌、验证HTTP请求头、限制同源策略和双重提交Cookie等方法，帮助开发者有效保护网站和用户数据安全。
47
2
2
|
16天前
|
SQL
存储
安全
什么是XSS攻击？什么是SQL注入攻击？什么是CSRF攻击？
理解并防范XSS、SQL注入和CSRF攻击是Web应用安全的基础。通过采用严格的输入验证、使用安全编码实践以及实现适当的身份验证和授权机制，可以有效防止这些常见的Web攻击，保障应用程序和用户的数据安全。
25
0
0
|
4月前
|
存储
安全
JavaScript
手摸手带你进行XSS攻击与防御
当谈到网络安全和信息安全时，跨站脚本攻击（XSS）是一个不可忽视的威胁。现在大家使用邮箱进行用户认证比较多，如果黑客利用XSS攻陷了用户的邮箱，拿到了cookie那么就可以冒充你进行收发邮件，那真就太可怕了，通过邮箱验证进行其他各种网站的登录与高危操作。
那么今天，本文将带大家深入了解XSS攻击与对应的防御措施。
152
2
3
|
21天前
|
安全
前端开发
Java
Web安全进阶：XSS与CSRF攻击防御策略深度解析
【10月更文挑战第26天】Web安全是现代软件开发的重要领域，本文深入探讨了XSS和CSRF两种常见攻击的原理及防御策略。针对XSS，介绍了输入验证与转义、使用CSP、WAF、HTTP-only Cookie和代码审查等方法。对于CSRF，提出了启用CSRF保护、设置CSRF Token、使用HTTPS、二次验证和用户教育等措施。通过这些策略，开发者可以构建更安全的Web应用。
59
4
4
|
22天前
|
存储
安全
Go
Web安全基础：防范XSS与CSRF攻击的方法
【10月更文挑战第25天】Web安全是互联网应用开发中的重要环节。本文通过具体案例分析了跨站脚本攻击（XSS）和跨站请求伪造（CSRF）的原理及防范方法，包括服务器端数据过滤、使用Content Security Policy (CSP)、添加CSRF令牌等措施，帮助开发者构建更安全的Web应用。
54
3
3
|
2月前
|
存储
安全
JavaScript
热门文章
最新文章
1
通过Web安全工具Burp suite找出网站中的XSS漏洞实战(二)
2
DOM XSS Scanner - Find DOM based XSS Security Vulnerabilities
3
Using Content Security Policy to Prevent Cross-Site Scripting (XSS)
4
使用 burpsuite 进行自动化测试 XSS 漏洞
5
OWASP出品：Xenotix XSS漏洞测试框架
6
owasp Xelenium xss scanner
7
Magicodes.WeiChat——使用AntiXssAttribute阻止XSS（跨站脚本攻击）攻击
8
Amazon.com Stored XSS via Book Metadata
9
xss工具
10
7500刀的accounts.google.com域下XSS分析(wooyun)