跨站脚本攻击—XSS分类和防御
XSS分类
XSS 攻击按攻击方式可分为 反射型 XSS、DOM 型 XSS、存储型 XSS,其中 反射型 XSS 和 DOM 型 XSS 算是 非持久型 XSS 攻击,而 存储型 XSS 算是 持久型 XSS 攻击。
反射型 XSS(Reflected XSS)
攻击步骤:
1、攻击构造出特殊的 URL ,其中包含恶意代码。
2、用户被诱导打开带有恶意代码的 URL,服务器端将恶意代码从 URL 中取出当做参数处理,然后返回给用户带有恶意代码的数据。
3、用户浏览器接收到响应解析执行,混在其中的恶意代码也被执行。
4、恶意代码窃取用户敏感数据发送给攻击者,或者冒充用户的行为,调用目标网站接口执行攻击者指定的操作。
DOM 型 XSS(DOM-based XSS)
攻击步骤:
1、攻击者构造出特殊的 URL,其中包含恶意代码。
2、用户被诱导打开带有恶意代码的 URL。
3、用户浏览器接收到响应后解析执行,前端 JavaScript 取出 URL 中的恶意代码并执行。
4、恶意代码窃取用户数据并发送到攻击者的网站,或者冒充用户的行为,调用目标网站接口执行攻击者指定的操作。
存储型 XSS(Stored XSS)
存储型 XSS 跟 反射型 XSS 的区别是:存储型 XSS 的恶意代码存在服务器上,反射型 XSS 的恶意代码存在 URL 里。
攻击步骤:
1、攻击者把恶意代码提交到目标网站的服务器中。
2、用户打开目标网站,网站服务器端把带有恶意代码的数据取出,当做正常数据返回给用户。
3、用户浏览器接收到响应解析执行,混在其中的恶意代码也被执行。
4、恶意代码窃取用户敏感数据发送给攻击者,或者冒充用户的行为,调用目标网站接口执行攻击者指定的操作。
防御方法
浏览器自带防御 (X-XSS-Protection )
并不能完全防止反射型 XSS,而且也并不是所有浏览器都支持 X-XSS-Protection。
转义
在 XSS 攻击中,攻击者主要是通过构造特殊字符来注入脚本,需要在客户端与服务端都进行输入检测,然后对用户输入的数据进行转义。
主要就是对输入所包含的特殊字符进行转义,如 <,>,&,",',来防止 XSS 攻击。
过滤
在富文本中因为需要保留 HTML ,所以我们不能使用转义的方法防御 XSS 攻击,这里使用过滤的方式防御 XSS 攻击,也就是通过只使用白名单允许的 HTML 标记及其属性。
内容安全策略(CSP)
内容安全策略(Content Security Policy,CSP),实质是白名单制度,开发者制定给客户端哪些外部资源可以加载和执行,增强网页安全性。
两种方法可以启用 CSP。一种是通过 HTTP 头信息的 Content-Security-Policy 的字段。
Content-Security-Policy: script-src 'self';
object-src 'none';
style-src cdn.example.org third-party.org;
child-src https:
上面代码中,CSP 做了如下配置。
script-src: 只信任当前域名
object-src: 不信任任何 URL,即不加载任何资源
style-src: 只信任 cdn.example.org 和 third-party.org
child-src:如 <frame>、<iframe>: 必须使用HTTPS协议加载
其他资源: 没有限制
启用后,不符合 CSP 的外部资源就会被阻止加载。
另一种是通过网页的 <meta> 标签。
<meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:">
本作品采用 知识共享署名-相同方式共享 4.0 国际许可协议 进行许可。
free poker online games free roulette online purchase levoxyl generic
Excellent escort services are provided by the site https://girls-thailand.com/ - here you will find a wide selection of girls for unusual adventures. Helping women during their stay, our professional escorts will make your trip unforgettable. Girls-thailand.com guarantees you complete confidentiality and high level service. Contact us today and evaluate the quality of our super escort services.
На сайте https://smfor.to/ вы сможете получить всю необходимую информацию о том, как освоить профессию, которая будет вам необходима в будущем. Вы освоите новый для себя, полезный вид заработка, который поможет получить новую работу мечты. При этом заработок может стать вашим постоянным источником дохода, дополнительным либо основным методом заработка. Вы научитесь зарабатывать интересно и так, чтобы вам хватало денег на все. Перед вами не только курсы, но и продажа дебетовых карт. Воспользуйтесь обменом темами, получите ответы на другие вопросы.
symmetrel generic buy amantadine online cheap dapsone cheap
online casino for real money brand stromectol stromectol 3 mg dosage
play poker online for real money slot machine games order ventolin inhalator
protonix 40mg generic phenazopyridine drug buy pyridium 200 mg without prescription
На сайте https://play.google.com/store/apps/details?id=com.forward.uhogorlonos вы сможете поиграть в интересные азартные игры и обязательно отыщите то, что хочется для того, чтобы интересно и ярко провести время. В онлайн-заведении имеется огромный ассортимент игр, включая рулетку, автоматы, блэкджек. Регулярно обновляются промокоды, проводятся различные акции – они точно вам понравятся. Промокоды постоянно обновляются, чтобы вы получили больше приятных эмоций. А еще это – дополнительный заработок.
atorvastatin 10mg without prescription albuterol without prescription order amlodipine 10mg pills
order azithromycin pill order neurontin 600mg generic buy neurontin 100mg pills
order accutane 40mg online purchase zithromax pill cost zithromax
order generic cefdinir buy generic glucophage over the counter lansoprazole order online
Эффект домино 1-12 серии смотреть онлайн Главные герои сериала «Эффект домино» - Николай Удалов и Максим Разин. Они очень разные. Единственное, что связывает этих мужчин – это их работа. Удалов и Разин трудятся в Следственном отделе. Они оба ведут борьбу с преступностью, являясь следователями. Мало того, Макс и Коля не просто следователи, они лучшие из лучших в своем деле. За особые заслуги, за сотни успешно расследованных преступлений фотографии двух лучших сыщиков красуются на доске почета в их родном Следственном отделе. Казалось бы, это двое должны быть напарниками, друзьями, одним словом, должны рука об руку бороться с преступностью, но не все так просто. Максим Разин не слишком чтит закон. Если этого требует ситуация, если нарушение закона поможет поймать убийцу и засадить его за решетку лет на десять, то Макс нарушит этот закон.
Эффект домино смотреть онлайн все серии подряд
generic provigil 100mg buy modafinil 200mg generic deltasone 5mg cheap
generic cenforce oral aralen buy aralen online
tadalafil 10mg over the counter buy tadalafil for sale order viagra 100mg without prescription
На сайте https://ecolan37.ru приобретите качественное, приятное к телу постельное белье, выполненное из натуральных материалов, которые не линяют, сохраняют оттенок интенсивным и ярким. В разделе представлены подушки как для сна, так и используемые в качества декора. Имеются простыни, пледы, пододеяльники, топперы, наматрасники, фартуки, скатерти и многое другое. Вся продукция отличается привлекательной стоимостью, доступна оперативная доставка. Постельное белье можно приобрести как себе, так и в качестве презента.
buy telmisartan 20mg order plaquenil 200mg pills molnunat 200mg uk
purchase prilosec generic omeprazole order lopressor online cheap
Les moteurs de volets et de rideaux métalliques peuvent
tomber en panne à tout second.
buy premarin online cheap order cabergoline sale viagra australia
На сайте компании Благородный Сад https://blagosad.ru/ вы сможете заказать ландшафтный дизайн вашего участка в Москве и области. Дизайн ландшафта, озеленение и обустройство двориков и водоемов, аква дизайн, создание зимних садов, отборный посадочный материал, авторские цветники от профессионалов в ландшафтном дизайне позволят получить вам уникальный результат и долгие годы наслаждаться результатом.
На сайте https://na-dache.pro/ вы сможете ознакомиться с полезной информацией и статьями на тему дачного хозяйства. Множество рубрик, таких как – декор дачи, ландшафтный дизайн, заборы и ограждения, о растениях, все что касается сауны и бани и множество других рубрик позволяет вам почерпнуть полноценную информацию и применить ее на своей даче или участке. Статьи, с новой информацией, постоянно добавляются.
По ссылке https://play.google.com/store/apps/details?id=com.soccerball130.pong423 вы сможете сделать ставки в одной из самых популярных и надежных БК – «Betcity». Компанию основали в 2003 году, имеет лицензию. Принимает ставки как онлайн, так и офлайн. Функционал предполагает комфортное пользование сайтом, ведь здесь есть все необходимое, чтобы удобно совершать ставки. В мобильной версии, как и на официальном портале, вы сможете воспользоваться бесплатной регистрацией, войти в личный кабинет, посмотреть баланс.
buy cheap generic zovirax oral xalatan rivastigmine 3mg usa
Специализированный магазин «Dcendy» занимается поставками качественного, надежного электротехнического оборудования: сварочных инверторов, вакуумных упаковщиков, ручных запайщиков, удлинителей, сетевых фильтров и многого другого. Имеется раздел с избранными товарами, которые пользуются огромной популярностью и рекомендуются администрацией сайта. Перед вами большой ассортимент различной техники по привлекательным ценам и с оперативной доставкой. Вся продукция хранится на складе, что позволяет произвести оперативную отгрузку и в необходимом объеме. На сайте https://dcendy.ru (конструктор engino база ) уточните условия покупки. Среди преимуществ заказа в этом магазине выделяют:
- большой ассортимент электротехнического оборудования;
- доступные цены;
- быстрая доставка;
- продукция от ведущих поставщиков.
Перед покупкой ознакомьтесь с более подробной информацией о заинтересовавшем устройстве: стоимостью, техническими характеристиками, фото. Информация позволит быстрее определиться с выбором. Многие позиции доступны к покупке прямо сейчас, а некоторые из них можно купить под заказ. Всегда в наличии большой запас оборудования, которое удовлетворит запросы самых разных категорий покупателей. Техника, представленная в категории, предназначена для оборудования зданий, различных гражданских объектов, электроустановок.
Приборы выполнены по ГОСТу, отвечают требованиям ПУЭ, стандартам безопасности. Заказывая электротехническое оборудование, вы сможете воспользоваться профессиональными консультациями высококлассных менеджеров. Они подберут технику под определенный проект, согласно спецификации деятельности. Вся продукция сертифицированная, на нее есть сопроводительная документация. Заказывайте ее в компании, которой доверяют многие.
enalapril where to buy duphalac without prescription buy lactulose no prescription
Сайт с сексуальными и раскрепощенными девушками Казани предлагает интересно провести досуг, расслабиться и получить море положительных эмоций, да таких, которых вы никогда еще не испытывали. Здесь девушки самого разного возраста – есть совсем юные, а также зрелые и опытные, которые подарят несравненное удовольствие и яркие ощущения. На сайте https://dosug-16.com (проститутки Казнь ) представлены девушки в огромном многообразии. Все они ухоженные, с красивым телом и утонченными формами, что позволит выбрать барышню с учетом своих предпочтений. Напротив фото каждой девушки имеется стоимость за час, 2 и даже ночь. Так вы сможете быстро сориентироваться в своих предпочтениях и финансовых возможностях. Некоторые девушки принимают по двое – вместе с подружкой, что усилит ваши чувства и эмоции. К важным преимуществам этого сайта относят:
- огромный выбор милых и прелестных обольстительниц, которые привлекают внимание;
- самые разные цены на услуги;
- можно вызвать девушку в любое время суток;
- все фотографии реальные.
Каждая анкета проверенная, а потому вы получите ту девушку, которую вызывали. Для того чтобы подыскать тот вариант, который нужен, воспользуйтесь специальным фильтром, который отберет предложения по цвету глаз, волос, размеру бюста и весу.
Если вам скучно, хочется развлечься и получить больше приятных эмоций, то скорей заходите на этот сайт, на котором регулярно появляются новые девушки. Они подарят вам ласку, приятные впечатления, море положительных эмоций, ведь они точно знают, как доставить мужчине удовольствие.
Если вам понравилась определенная девушка, то изучите ее фото, после чего наберите номер телефона, чтобы назначить встречу на ближайшее время. Получите удовольствие от внезапной радости. Девушки встретят своего кавалера во всеоружии и подарят море волнительных эмоций и счастья.
bucks championship jersey 2021 tim tebow jaguars jersey for sale liu jo maxi alexa ohio state football jersey gray new balance white 608 rockies 19 charlie blackmon green salute to service womens stitched mlb jersey
het-nus http://www.het-nus.net/
man city purple shirt for cheap cowboys jersey 82 new york yankees fitted hats cheap gasjordan jumpman bucket cap kitrealtree camouflage atlanta braves hat meaninglos angeles dodgers script hat zions ladies air max 97 blacknike flyknit roshe wolf gris sequoiaadidas nmd black gold for cheapadidas nmd black gray for cheap ray ban 2180 polarizedray ban rb2184holbrook prizm polarized lensesray ban aviator silver
lacarspotting http://www.lacarspotting.com/
buy ferrous pills for sale ascorbic acid 500 mg price sotalol online buy
buy melatonin pills desogestrel 0.075 mg uk order danocrine for sale
aspirin uk buy eukroma cream imiquimod online
At https://gllthub.com/Jessecar96/SteamDesktopAuthenticator/ you can download the desktop implementation of the Steam mobile authentication app. All distributions in one place.
acarbose over the counter order fulvicin online cheap cheap fulvicin 250 mg
cp9685 cute dresses 11 year olds womens miami heat vice jersey 100mm heels top 5 selling nba jerseys cute knit dresses
hairulafiz http://www.hairulafiz.com/
На сайте https://studio-mint.pro/вы сможете ознакомиться с портфолио студии интерьеров Мята, а также получить консультацию по вопросам дизайна интерьеров как жилых, так и коммерческих помещений. Студия Мята предлагает свои услуги под ключ с полным подбором отделочных материалов и составляющих интерьера. Авторский надзор за реализацией проекта - это возможность получить уникальный интерьер от профессиональной студии.
fantastic issues altogether, you simply received a new reader.
What may you suggest in regards to your post that you just
made a few days in the past? Any sure?
levetiracetam 1000mg pills buy keppra 500mg order sildenafil 100mg online cheap