XSS攻擊與防護

 

1、XSS攻擊原理：

XSS攻擊是利用網站的漏洞，例如用戶輸入之類的post數據到服務器，服務器正常保存，輸出到客戶端，利用用戶端和服務端代碼漏洞，沒有檢測機制，輸入惡意代碼給服務器，服務器返回以後，客戶端執行了這個惡意代碼。

簡單的來講就是：想盡一切辦法，讓客戶端執行個人js代碼

 

舉例：

網頁源碼：

1 <form action="" method="get"> 
2 <input type="text" name="xss_input"> 
3 <input type="submit"> 
4 </form> 
5  
6 <?php 
7 $xss = $_GET['xss_input'];  
8 echo '你輸入的字符爲<br>'.$xss;  
9 ?> 

 

正常的流程是：用戶輸入，而後php獲取輸入以後，顯示給客戶端。可是若是客戶輸入的是<script>alert('da')</script>，那就是至關於返回來的是<script>alert('da')</script>，而後就會被瀏覽器解析的時候直接執行