摘要：跨站脚本攻击，，为了和前端的避免重名，简称为，是指通过技术手段，向正常用户请求的页面中插入恶意脚本，执行。这种攻击主要是用于信息窃取和破坏等目的。防范的漏洞方式验证，利用浏览器的同源限制，在接口执行前验证中的，验证通过才会继续执行请求。
相信大家在各种技术文章都看到过SQL注入、XSS和CSRF这三个名词，但是我觉得有一部分人可能并不清楚这三个词的真正含义。接下来，我就说下这三个名词的含义，希望对大家能有所帮助。
SQL注入
SQL注入是属于注入式攻击，这种攻击是因为在项目中没有将代码与数据（比如用户敏感数据）隔离，在读取数据的时候，错误的将数据作为代码的一部分执行而导致的。
典型的例子就是当对SQL语句进行字符串拼接的时候，直接使用未转义的用户输入内容作为变量。这时，只要在sql语句的中间做修改，比如加上drop、delete等关键字，执行之后后果不堪设想。
说到这里，那么该怎么处理这种情况呢？三个方面：
1、过滤用户输入参数中的特殊字符，降低风险。
2、禁止通过字符串拼接sql语句，要严格使用参数绑定来传入参数。
3、合理使用数据库框架提供的机制。就比如Mybatis提供的传入参数的方式 #{}，禁止使用${}，后者相当于是字符串拼接sql，要使用参数化的语句。
总结下，就是要正确使用参数化绑定sql变量。
XSS
XSS：跨站脚本攻击，Cross-Site Scripting，为了和前端的css避免重名，简称为XSS，是指通过技术手段，向正常用户请求的HTML页面中插入恶意脚本，执行。
这种攻击主要是用于信息窃取和破坏等目的。比如2011年的微博XSS攻击事件，攻击者利用了微博发布功能中未对action-data漏洞做有效的过滤，在发布微博信息的时候带上了包含攻击脚本的URL，用户访问就会加载恶意脚本，导致大量用户被攻击。
关于防范XSS上，主要就是通过对用户输入的数据做过滤或者是转义，可以使用框架提供的工具类HtmlUtil。另外前端在浏览器展示数据的时候，要使用安全的API展示数据。比如使用innerText而不是innerHTML。
CSRF
跨站请求伪造，在用户并不知情的情况下，冒充用户发送请求，在当前已经登录的web网站上执行恶意操作，比如恶意发帖，修改密码等。
大致来看，与XSS有重合的地方，前者是黑客盗用用户浏览器中的登录信息，冒充用户去执行操作。后者是在正常用户请求的HTML中放入恶意代码，XSS问题出在用户数据没有转义，过滤；CSRF问题出现在HTTP接口没有防范不守信用的调用。
防范CSRF的漏洞方式：
1、CSRF Token验证，利用浏览器的同源限制，在HTTP接口执行前验证Cookie中的Token，验证通过才会继续执行请求。
2、人机交互，例如短信验证码、界面的滑块。
之前在会议上也有一个思考，在人机验证这块，如果不用验证码的方式，用界面上的滑块这种方式，而且滑块还是第三方的。在APP的注册、登录使用这种人机验证的方式的话，如果第三方出现了问题，那么自己的APP就完全崩掉了，发版之后的APP什么也改不了。
这个问题，你们能想到解决方案吗？在下一篇文章中，我会说一下讨论的结果。
希望这点分享会对每个读者有所帮助，如果有什么好的建议，可以在留言区告诉我。
这样的分享我会一直持续，你的关注、点赞、转发和收藏是对我最大的支持，感谢。
如果这篇文章让你有所收获，欢迎关注公众号：java技术情报局
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/73954.html
摘要：但最近又听说了另一种跨站攻击，于是找了些资料了解了一下，并与放在一起做个比较。脚本中的不速之客全称跨站脚本，是注入攻击的一种。 XSS：跨站脚本（Cross-site scripting） CSRF：跨站请求伪造（Cross-site request forgery） 在那个年代，大家一般用拼接字符串的方式来构造动态 SQL 语句创建应用，于是 SQL 注入成了很流行的攻击方式。...
摘要：根据年的报告看一下都有哪些常见攻击。来自安全测试之有这么个网页，查询的结果和查询的关键字都会显示到网页上。安全是个大领域，暂时先到这里，以后有时间再总结写别的。安全测试之拒绝服务攻击知乎讨论浅谈攻击方式 搞web离不开security这个话题，之前关注的也不多只是听说一些名词什么的。是时候好好看看这些安全问题了。根据Cenzic 2012年的报告看一下都有哪些常见攻击。 37% ...
摘要：应用常见安全漏洞一览注入注入就是通过给应用接口传入一些特殊字符，达到欺骗服务器执行恶意的命令。此外，适当的权限控制不曝露必要的安全信息和日志也有助于预防注入漏洞。 web 应用常见安全漏洞一览 1. SQL 注入 SQL 注入就是通过给 web 应用接口传入一些特殊字符，达到欺骗服务器执行恶意的 SQL 命令。 SQL 注入漏洞属于后端的范畴，但前端也可做体验上的优化。 原因 当使用外...
摘要：应用常见安全漏洞一览注入注入就是通过给应用接口传入一些特殊字符，达到欺骗服务器执行恶意的命令。此外，适当的权限控制不曝露必要的安全信息和日志也有助于预防注入漏洞。 web 应用常见安全漏洞一览 1. SQL 注入 SQL 注入就是通过给 web 应用接口传入一些特殊字符，达到欺骗服务器执行恶意的 SQL 命令。 SQL 注入漏洞属于后端的范畴，但前端也可做体验上的优化。 原因 当使用外...
阅读 2576·2021-10-19 11:41
阅读 2416·2021-09-01 10:32
阅读 3381·2019-08-29 15:21
阅读 1758·2019-08-29 12:20
阅读 1162·2019-08-29 12:13
阅读 600·2019-08-26 12:24
阅读 2522·2019-08-26 10:26
阅读 828·2019-08-23 18:40
