网站受到XSS跨站点脚本攻击的分析及解决方法_漏洞分析教程-查字典教程网
网站受到XSS跨站点脚本攻击的分析及解决方法
网站受到XSS跨站点脚本攻击的分析及解决方法
发布时间:2016-12-21 来源:查字典编辑
摘要:如果用户表单输入一些内容,……特别是一些内容比较多的表单项,且无固定格式,如地址,文章内容…&he...

如果用户表单输入一些内容,……特别是一些内容比较多的表单项,且无固定格式 ,如地址,文章内容……此时用户可以输入JS代码等来执行

STEP1:在设计方案上,输入项要尽可能检测格式并限制长度。要有服务端检测,不能依赖客户端检测。在数据库设计上要限制字段长度……

输出页面时需要进行HTML转码,如输出地址内容

<td ><%=convert.html(cus.getAddress())%></td >

public static String html(String content) {

if(content==null) return "";

String html = content;

html = html.replaceAll( "&", "&amp;"); // 替换&号

html = html.replace( """, "&quot;"); //" 替换双引号

html = html.replace( "t", "&nbsp;&nbsp;");// 替换跳格

html = html.replace( " ", "&nbsp;");// 替换空格

html = html.replace("<", "&lt;");

html = html.replaceAll( ">", "&gt;");

return html;

}

有些人是在入库的时候做HTML编码,这样与原意不付,应该在出库的时候转码,如果输出载体为HTML页面,则进行HTML转码……。如果是用户控件一类的,就可以不做HTML转码了。

真正麻烦的是,在一些场合我们要允许用户输入HTML,又要过滤其中的脚本。Tidy 等HTML 清理库可以帮忙……本文不讨论这种情况 ……

STEP2: 检测

主要对用户输入内容在显示时的页面进行检测,照上面列个清单出来

STEP3:检测结果纪录表

STEP4: 根据检测结果做修复,在纪录表上记录修复结果

STEP5:复测,在纪录表上记录复测结果

摘自 attilax的专栏

相关阅读
推荐文章
猜你喜欢
附近的人在看
推荐阅读
拓展阅读
  • 大家都在看
  • 小编推荐
  • 猜你喜欢
  • 最新漏洞分析学习
    热门漏洞分析学习
    网络安全子分类