如何正确防御xss攻击

今天我爱编程网小编为大家带来了如何正确防御xss攻击，希望能帮助到大家，一起来看看吧！

本文目录一览：

• 1、XSS（跨站脚本漏洞）谁帮忙修复下，我看着就头大，一窍不通啊。
• 2、修复php漏洞xss改那个文件
• 3、如何正确防御xss攻击

XSS（跨站脚本漏洞）谁帮忙修复下，我看着就头大，一窍不通啊。

对于php你可以用htmlentities()函数
例如这样:
<?php
echo htmlentities($_POST['abc']);
?>
至于asp，租念颂默认弊郑就能防xss攻击高液，无需任何操作

修复php漏洞xss改那个文件

<?php
$aa=$_GET['dd'];
echo $aa."123";//这里没有经过过滤就可以显示出来，导致的
?>

过滤原理：

首先要想执行js脚本那就让html解析那些是js脚本,诸如：

<script type="text/javascript">alert("这里会被js执行");</script>

所以要过滤<script>标签和</script>

或者过滤‘<’和‘>’这两个符号

实现:

<?php
$aa=$_GET['dd'];
$aa=str_replace('<','&lt;',$aa);
$aa=str_replace('>','&gt;',$aa);//以上两句是直接过滤'<'和'>'缺点其他便签不能用
/*定向过滤<script>*/
/*
$aa=str_replace('<script>','&lt;script&gt;',$aa);
$aa=str_replace('</script>','&lt;/script&gt;',$aa);
*/
echo $aa."123";//这里没有经过过滤就可以显示出来，导致的
?>

总的来说就是过滤些"非法"标签

如何正确防御xss攻击

我爱编程网(https://www.52biancheng.com)小编还为大家带来如何正确防御xss攻击的相关内容。

传统防御技术

2.1.1基于特征的防御

传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的 XSS攻击 ，采用的模式匹配方法一般会需要孙桐对“javascript”这个关键字纳物进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。

2.1.2 基于代码修改的防御

和SQL注入防御一样，XSS攻击也是利用了Web页面的编写疏忽，所以还有一种方法就是从Web应用开发的角度来避免：

1、对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采则茄坦用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。

2、实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。

3、确认接收的的内容被妥善的规范化，仅包含最小的、安全的Tag(没有javascript)，去掉任何对远程内容的引用(尤其是样式表和javascript)，使用HTTP only的cookie。

当然，如上方法将会降低Web业务系统的可用性，用户仅能输入少量的制定字符，人与系统间的交互被降到极致，仅适用于信息发布型站点。

并且考虑到很少有Web编码人员受过正规的安全培训，很难做到完全避免页面中的XSS漏洞。 我爱编程网

扩展资料：

XSS攻击的危害包括

1、盗取各类用户帐号，如机器登录帐号、用户 网银 帐号、各类管理员帐号

2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力

3、盗窃企业重要的具有商业价值的资料

4、非法转账

5、强制发送电子邮件

6、网站挂马

7、控制 受害者 机器向其它网站发起攻击

受攻击事件

新浪微博 XSS受攻击事件

2011年6月28日晚，新浪微博出现了一次比较大的XSS攻击事件。

大量用户自动发送诸如：

“ 郭美美事件 的一些未注意到的细节”，“ 建党大业 中穿帮地方”，“让女人心动的100句诗歌”，“这是传说中的 神仙眷侣 啊”等等微博和私信，并自动关注一位名为hellosamy的用户。

事件的经过线索如下：

20:14，开始有大量带V的认证用户中招转发蠕虫

20:30，某网站中的病毒页面无法访问

20:32，新浪微博中hellosamy用户无法访问

21:02，新浪漏洞修补完毕

百度贴吧 xss攻击事件

2014年3月9晚，六安吧等几十个贴吧出现点击推广贴会自动转发等。并且吧友所关注的每个关注的贴吧都会转一遍，病毒循环发帖。并且导致吧务人员，和吧友被封禁。

参考资料：

XSS攻击-百度百科

以上就是我爱编程网整理的如何正确防御xss攻击相关内容，想要了解更多信息，敬请查阅我爱编程网。更多相关文章关注我爱编程网：www.52biancheng.com

免责声明：文章内容来自网络，如有侵权请及时联系删除。