cross site scripting跨站指令碼攻擊
利用js和dom攻擊。
盜用cookie，獲取敏感資訊
破壞正常頁面結構，插入惡意內容（廣告..）
劫持前端邏輯
ddos攻擊效果——分布式拒絕服務攻擊
server limit dos，http header過長，server返回400
攻擊方式
發出請求時，xss**出現在url中，作為輸入提交到伺服器端，伺服器解析後響應，xss**隨響應內容一起傳回給瀏覽器，最後瀏覽器解析執行xss**。這個過程像一次反射，故叫反射型xss。
傳播-》url傳播-》短**傳播
儲存型xss和反射型xss的差別僅在於，提交的**會儲存在伺服器端（資料庫，記憶體，檔案系統等），下次請求目標頁面時不用再提交xss**。
更隱蔽。
xss存在的位置
xss攻擊注入點：
ctx.set('x-xss-protection',0); 反射型引數出現在html內容或屬性中。
不能讓所有使用者輸入保持原樣。
對使用者輸入的資料進行html entity編碼。
用轉義字元代替字元。
轉義的時機
編碼後顯示時候還要解碼。解碼後顯示原樣**前過濾。
過濾掉不合法輸入，保證安全。
onerror自動觸發xss。
style:body:display:none.
js對頁面有百分比操作許可權。
iframe引入其它頁面資源。
通過xss注入的方式，引誘使用者觸發csrf攻擊。
csp: content security policy
xss攻擊與防禦
xss有三種型別 儲存型特點 經過後端和資料庫 危害較大 反射性經過後端，不經過資料庫 dom型 不經過後端和資料庫 xss平台 xss無過濾 從原始碼可以看出對input沒有做任何過濾 可以直接構造 payload 輸入框中輸入即可成功執行 xss僅用str replace過濾 這裡的正規表示式導...
XSS攻擊與CSRF攻擊與防禦
csrf 跨站點請求偽造 cross site request forgery 使用者在自己電腦瀏覽乙個站點a，進行登入動作後，瀏覽完後沒有退出站點。在新的tab頁面開啟乙個站點b 加入站點b是乙個釣魚 其中有乙個連線是跳到站點a，這時候站點a的登入資訊你並沒退出，站點a認為是使用者操作行為，站點b...
XSS攻擊與防禦方法
摘要 1 介紹xss攻擊 2 如何防禦 跨站指令碼攻擊 cross site scripting 一種經常出現在web應用中的計算機安全漏洞 它允許惡意web使用者將 植入到提供給其它使用者使用的頁面中 xss攻擊的危害包括 1 盜取各類使用者帳號，如機器登入帳號 使用者網銀帳號 各類管理員帳號 2...