网站服务器托管对于XSS攻击该怎样进行防范
发布时间：2019-08-23 点击数：1784
大家都知道服务器不管是对于网站还是应用都是非常重要的，这也成为了黑客喜欢攻击的目标之一，而攻击类型也是多种多样的，今天小编要给大家说的是XSS攻击，网站服务器托管对于XSS攻击该怎样进行防范？
XSS攻击
全称跨站脚本攻击（Cross Site Scripting），为了不跟层叠样式表（CSS）重名，所以叫XSS；危害
攻击者在网站中嵌入恶意脚本（代码），当用户打开该网页时，脚本自动执行，它可以：盗取用户cookie、用户名密码
下载病毒木马
强行跳转页面
其他可怕的事。
原理
假设页面上有个需要用户填写的表单，表单填好后的结果是：<input type="text" name="nick" value="xiaomao">
nick就是用户输入的用户名，这是正常情况，但是当输入的是：
"/><script>alert（"haha"）</script><!-
这个时候，这一串就会被当做用户名提交到服务器，一般服务器会限制用户名长度或者字符类型，此时就会验证不通过。好了，这时服务器会让页面重定向到登录页面并带上刚才输入的用户名，因为输入框input的后面带上了一段脚本，所以浏览器会执行，这里的效果是会弹出一个提示框”haha“，并没有什么危害，危害程度完全取决与用户输入了什么。
1. 如何盗取用户cookie、用户名密码？
比如在一篇博客下，攻击者在评论区输入一段恶意的代码“评论”，代码的内容是包含CookieHelper.getCookie（xxx'）这样的内容，那么别的用户访问这篇博客时，就会加载“评论”==执行恶意代码，攻击者可以在“评论”中通过jsonp跨域方式将cookie信息发送到自己的服务器进而获取其他用户的cookie信息，有些网站会将用户名密码直接保存cookie中，这样就泄露了账户信息，即使信息不是明文保存的，攻击者拿到其他用户cookie后也可以执行其他恶意操作，比如修改个人资料，攻击者可以在一个http请求中带上拿到的cookie，请求博客的修改个人资料的接口，是可以成功的。这样就对用户、网站造成了比较大的危害。2. 如何下载病毒木马？
既然用户可以在网站上注入脚本，那么他就可以修改脚本内容，在脚本中去下载一个指定的病毒木马。通过类似原理，实现强制广告弹出，访问某网站等等都不是问题。3. 如何强行跳转页面？
当注入js为“<script>window.location.href="www.bug.com"</script>”时，浏览器在访问当前页面时会强行跳转到www.bug.com这个站点，这个也叫做网站劫持。防范
XSS攻击的起源都是来自页面的输入，因此我们只需1. 在前端进行用户输入内容过滤，如电话号码，用户名可直接限制只能输入对应字符。
2. 将用户输入的内容进行HTML转义存储，如尖括号，斜杠，单/双引号。
3. 对于cookie劫持，我们可以为关键的cookie字段设置http-only，然后就无法通过document对象获取cookie，但不影响其加载网页。
这样我们就能很好的保护好我们的服务器了，希望以上云网时代小编的分享能对大家有所帮助，云网时代专业提供深圳服务器租用，深圳服务器托管，深圳主机租用，云服务器租用等服务，欢迎咨询客服了解详情。