您的位置 首页 技术

跨站脚本攻击xss包括哪三大类型

跨站脚本攻击xss的三大类型:1、持久型跨站;2、非持久型跨站;3、DOM跨站。持久型跨站是最直接的危害类型,跨站代码存储在服务器;非持久型跨站是反射型跨站脚本漏洞,这是最普遍的类…

跨站脚本攻击xss的三大类型:1、持久型跨站;2、非持久型跨站;3、DOM跨站。持久型跨站是最直接的危害类型,跨站代码存储在服务器;非持久型跨站是反射型跨站脚本漏洞,这是最普遍的类型。

一、跨站脚本攻击类型:

(1)持久型跨站:最直接的危害类型,跨站代码存储在服务器(数据库)。

(2)非持久型跨站:反射型跨站脚本漏洞,最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。

(3)DOM跨站(DOM XSS):DOM(document object model文档对象模型),客户端脚本处理逻辑导致的安全问题。

(如果您想了解更多相关问题,可以访问24课堂在线网。)

二、如何预防?

从网站开发者角度,如何防护XSS攻击?

对XSS最佳的防护应该结合以下两种方法:

1、验证所有输入数据,有效检测攻击;

2、对所有输出数据进行适当的编码,以防止任何已成功注入的脚本在浏览器端运行。

具体如下:

输入验证:某个数据被接受为可被显示或存储之前,使用标准输入验证机制,验证所有输入数据的长度、类型、语法以及业务规则。

输出编码:数据输出前,确保用户提交的数据已被正确进行entity编码,建议对所有字符进行编码而不仅局限于某个子集。

明确指定输出的编码方式:不要允许攻击者为你的用户选择编码方式(如ISO 8859-1或 UTF 8)。

注意:黑名单验证方式的局限性:仅仅查找或替换一些字符(如"<" ">"或类似"script"的关键字),很容易被XSS变种攻击绕过验证机制。

警惕规范化错误:验证输入之前,必须进行解码及规范化以符合应用程序当前的内部表示方法。请确定应用程序对同一输入不做两次解码。

从网站用户角度,如何防护XSS攻击?

当你打开一封Email或附件、浏览论坛帖子时,可能恶意脚本会自动执行,因此,在做这些操作时一定要特别谨慎。建议在浏览器设置中关闭JavaScript。如果使用IE浏览器,将安全级别设置到“高”。

这里需要再次提醒的是,XSS攻击其实伴随着社会工程学的成功应用,需要增强安全意识,只信任值得信任的站点或内容。可以通过一些检测工具进行xss的漏洞检测。针对xss的漏洞带来的危害是巨大,如有发现,应立即修复漏洞。

以上就是跨站脚本攻击xss包括哪三大类型的详细内容,更多请关注24课堂在线网其它相关文章!

本文来自网络,不代表24小时课堂在线立场,转载请注明出处:https://www.24ketang.cn/88323.html

为您推荐

返回顶部