www.8029.com-首页

教育行业A股IPO第一股(股票代码 003032)

全国咨询/投诉热线:400-618-4000

传智教育|传智播客

一样的教育,不一样的品质

全国校区

 

XSS跨站脚本攻击是什么意思?为什么叫XSS?

更新时间:2021年04月12日14时42分 来源:传智教育 浏览次数:

XSS全拼为Cross Site Scripting,意为跨站脚本,其缩写原本为CSS,但这与HTML中的层叠样式表( Cascading Style Sheets)缩写重名了,为了区分就将跨站脚本改为了XSS。

XSS是Web应用系统最常见的安全漏洞之一,它主要源于Web应用程序对用户输入检查和过滤不足。攻击者可以利用XSS漏洞把恶意代码( HTM代码或JavaScript脚本)注入网站中,当有用户浏览该网站时,这些恶意代码就会被实行,从而达到攻击的目的。

1618208898116_XSS.png

通常,在XSS攻击中,攻击者会通过邮件或其他方式诱使用户点击包含恶意代码的链接,例如攻击者通过E-mail向用户发送一个包含恶意代码的网站home.com,用户点击链接后,浏览器会在用户毫不知情的情况下实行链接中包含的恶意代码,将用户与home.com交互的Cookie和Session等信息发送给攻击者,攻击者拿到这些数据之后,就会伪装成用户与真正的网站进行会话,从事非法活动,其过程如下图所示。

1618208947784_xss跨脚本攻击.jpg

对于XSS漏洞,最核心的防御措施就是对用户的输人进行检查和过滤,包括URL、查询关键字、HTTP头、POST 数据等,仅接受指定长度范围、格式适当、符合预期的内容,对其他不符合预期的内容一律进行过滤。 除此之外,当向HTML标签或属性中插人不可信数据时,要对这些数据进行相应的编码处理。将重要的Cookie标记为http only,这样JavaScript脚本就不能访问这个Cookie,避免了攻击者利用JavaScript脚本获取Cookie。

原文地址:《什么是XSS跨站脚本攻击?》http://test.itheima.com/areanew/schoolzixun/test/20210412/143715.html



猜你喜欢:

常见的安全测试工具有哪些?

10款移动app安全测试工具推荐

6款自动化应用安全测试工具推荐

传智教育App测试工程师培训课程

www.8029.com|www.8029.com

XML 地图 | Sitemap 地图