欢迎来到深圳市云网时代信息技术有限公司|云网时代数据中心! 业务咨询热线:0755-88868179增值电信业务经营许可证:B1-20170628
行业新闻
当前位置:首页>文章中心>行业新闻

网站服务器托管对于XSS攻击该怎样进行防范

发布时间:2019-08-23 点击数:1784

大家都知道服务器不管是对于网站还是应用都是非常重要的,这也成为了黑客喜欢攻击的目标之一,而攻击类型也是多种多样的,今天小编要给大家说的是XSS攻击,网站服务器托管对于XSS攻击该怎样进行防范?

服务器托管XSS攻击防范方法

XSS攻击

全称跨站脚本攻击(Cross Site Scripting),为了不跟层叠样式表(CSS)重名,所以叫XSS;

危害

攻击者在网站中嵌入恶意脚本(代码),当用户打开该网页时,脚本自动执行,它可以:
盗取用户cookie、用户名密码
下载病毒木马
强行跳转页面
其他可怕的事。

原理

假设页面上有个需要用户填写的表单,表单填好后的结果是:
<input type="text" name="nick" value="xiaomao">
nick就是用户输入的用户名,这是正常情况,但是当输入的是:
"/><script>alert("haha")</script><!-
这个时候,这一串就会被当做用户名提交到服务器,一般服务器会限制用户名长度或者字符类型,此时就会验证不通过。好了,这时服务器会让页面重定向到登录页面并带上刚才输入的用户名,因为输入框input的后面带上了一段脚本,所以浏览器会执行,这里的效果是会弹出一个提示框”haha“,并没有什么危害,危害程度完全取决与用户输入了什么。

1. 如何盗取用户cookie、用户名密码?

比如在一篇博客下,攻击者在评论区输入一段恶意的代码“评论”,代码的内容是包含CookieHelper.getCookie(xxx')这样的内容,那么别的用户访问这篇博客时,就会加载“评论”==执行恶意代码,攻击者可以在“评论”中通过jsonp跨域方式将cookie信息发送到自己的服务器进而获取其他用户的cookie信息,有些网站会将用户名密码直接保存cookie中,这样就泄露了账户信息,即使信息不是明文保存的,攻击者拿到其他用户cookie后也可以执行其他恶意操作,比如修改个人资料,攻击者可以在一个http请求中带上拿到的cookie,请求博客的修改个人资料的接口,是可以成功的。这样就对用户、网站造成了比较大的危害。

2. 如何下载病毒木马?

既然用户可以在网站上注入脚本,那么他就可以修改脚本内容,在脚本中去下载一个指定的病毒木马。通过类似原理,实现强制广告弹出,访问某网站等等都不是问题。

3. 如何强行跳转页面?

当注入js为“<script>window.location.href="www.bug.com"</script>”时,浏览器在访问当前页面时会强行跳转到www.bug.com这个站点,这个也叫做网站劫持。

防范

XSS攻击的起源都是来自页面的输入,因此我们只需
1. 在前端进行用户输入内容过滤,如电话号码,用户名可直接限制只能输入对应字符。
2. 将用户输入的内容进行HTML转义存储,如尖括号,斜杠,单/双引号。

3. 对于cookie劫持,我们可以为关键的cookie字段设置http-only,然后就无法通过document对象获取cookie,但不影响其加载网页。

这样我们就能很好的保护好我们的服务器了,希望以上云网时代小编的分享能对大家有所帮助,云网时代专业提供深圳服务器租用,深圳服务器托管,深圳主机租用,云服务器租用等服务,欢迎咨询客服了解详情。

在线客服