昨天，在某個論壇看到乙個帖子，某個網友給論壇進行了攻擊。瀏覽某個帖子時就會彈出"只是來測試論壇有沒有做攻擊防護"的調皮字樣，隨後該問題被修復，帖子被刪。我勾起了我的好奇，我查了有關知識。
簡單來說就是跨站指令碼攻擊，在某個輸入框或者url新增指令碼**，儲存到伺服器上。比如論壇，每當被攻擊的帖子被瀏覽時，指令碼就會被執行。它可能會竊取cookie資料等，造成資料洩露，服務異常等。
解決辦法，不信任客戶端輸入的任何資料，對客戶端輸入的資料進行判斷處理，html encode， u r l encode等，可能會被瀏覽器執行的<>轉換成& l t 等，讓瀏覽器能輸出，但是不能執行。
我試了自己的幾個本地專案，這個問題也存在。
web安全 XSS攻擊
xss xss,即為 cross site scripting 中文名為跨站指令碼 不使用css縮寫是為了與層疊樣式表區分 是發生在目標使用者的瀏覽器層面上的，當渲染dom樹的過程成執行了不在預期內的js 時，就發生了xss攻擊。xss分為反射型xss，儲存型xss和dom xss 1 反射型xss...
web安全（xss攻擊和csrf攻擊）
1 csrf攻擊 csrf cross site request forgery 跨站請求偽造。1 攻擊原理 如上圖，在b 引誘使用者訪問a 使用者之前登入過a 瀏覽器 cookie 快取了身份驗證資訊 通過呼叫a 的介面攻擊a 2 防禦措施 1 token驗證 登陸成功後伺服器下發token令牌存...
web攻擊手段（一）XSS
xss 攻擊，跨站指令碼攻擊 cross site scripting 為了不和樣式表的 css的縮寫混淆，所以跨站指令碼攻擊縮寫為 xss。它是指攻擊者在網頁中嵌入惡意指令碼程式，當使用者開啟網頁時，惡意指令碼就開始在使用者客戶端的瀏覽器上執行，以盜取客戶端的 cookie admin 許可權。1...