压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

　　XSS： 又叫跨站攻擊，根據攻擊類型分為以下三類：

　　1. 反射型 XSS -服務端沒有把用戶的輸入數據進行標簽過濾，直接在頁面上輸出。可能存在惡意代碼的鏈接，誘導其他人點擊進而實施攻擊；

　　2. 存儲型 XSS – 常見于博客系統中，黑客將含有惡意代碼的數據直接寫入 文章 、評論中 存儲在服務器數據庫中，所有瀏覽這個文章，查看這個的用戶都會在瀏覽器上插入帶有惡意攻擊代碼。

　　3. 基于DOM的 XSS跨站腳本攻擊-通過修改DOM節點數據信息而形成的XSS攻擊。

　　XSS在線競賽平臺：http：//xss-quiz.int21h.jp

　　解題思路：

　　http：//blog.csdn.net/yd0str/article/details/17297971

　　XSS防范：

　　1. 利用HttpOnly ，HttpOnly是在set-cookie時進行標記，這樣的標記 使得瀏覽器將禁止頁面的JavaScript訪問這類Cookie，解決了黑客利用腳本盜用cookie會話行為；  引用于PHP源碼文檔中的說明：

　　* @param httponly bool[optional] <p>

　　* When true the cookie will be made accessible only through the HTTP

　　* protocol. This means that the cookie won't be accessible by

　　* scripting languages， such as JavaScript. This setting can effectively

　　* help to reduce identity theft through XSS attacks (although it is

　　* not supported by all browsers). Added in PHP 5.2.0.

　　* true or false

　　2. 完善的輸入輸出檢查

　　防范基于反射型XSS 和 存儲型XSS：

　　必要的輸入檢查，對帳號密碼信息等輸入數據的合法性檢查。比如：只允許下劃線，字母，數字等數據規范，不允許不合規范的數據輸入。

　　必要的輸出檢查，對取出來的信息進行HTML編碼處理，將可能存在導致XSS跨站腳本攻擊的惡意字符進行編碼，對某些可能造成XSS攻擊的字符進行過濾。

　　防范基于DOM的XSS：

　　依然把用戶要展現出來的信息進行編碼處理，輸入的數據進行合法檢測。

　　小結：初步了解XSS，慢慢學習ing！！