XSS跨站点脚本攻击解决方案
2012-06-05 10:27
204 查看
XSS跨站点脚本攻击解决方案
如果用户表单输入一些内容,……特别是一些内容比较多的表单项,且无固定格式,如地址,文章内容……此时用户可以输入JS代码等来执行
STEP1:在设计方案上,输入项要尽可能检测格式并限制长度。要有服务端检测,不能依赖客户端检测。在数据库设计上要限制字段长度……
输出页面时需要进行HTML转码,如输出地址内容
<td><%=convert.html(cus.getAddress())%></td>
publicstaticStringhtml(Stringcontent){
if(content==null)return"";
Stringhtml=content;
html=html.replaceAll("&","&");//替换&号
html=html.replace("\"",""");//"替换双引号
html=html.replace("\t"," ");//替换跳格
html=html.replace(""," ");//替换空格
html=html.replace("<","<");
html=html.replaceAll(">",">");
returnhtml;
}
有些人是在入库的时候做HTML编码,这样与原意不付,应该在出库的时候转码,如果输出载体为HTML页面,则进行HTML转码……。如果是用户控件一类的,就可以不做HTML转码了。
真正麻烦的是,在一些场合我们要允许用户输入HTML,又要过滤其中的脚本。Tidy等HTML清理库可以帮忙……本文不讨论这种情况……
STEP2:检测
主要对用户输入内容在显示时的页面进行检测,照上面列个清单出来
STEP3:检测结果纪录表
STEP4:根据检测结果做修复,在纪录表上记录修复结果
STEP5:复测,在纪录表上记录复测结果
如果用户表单输入一些内容,……特别是一些内容比较多的表单项,且无固定格式,如地址,文章内容……此时用户可以输入JS代码等来执行
STEP1:在设计方案上,输入项要尽可能检测格式并限制长度。要有服务端检测,不能依赖客户端检测。在数据库设计上要限制字段长度……
输出页面时需要进行HTML转码,如输出地址内容
<td><%=convert.html(cus.getAddress())%></td>
publicstaticStringhtml(Stringcontent){
if(content==null)return"";
Stringhtml=content;
html=html.replaceAll("&","&");//替换&号
html=html.replace("\"",""");//"替换双引号
html=html.replace("\t"," ");//替换跳格
html=html.replace(""," ");//替换空格
html=html.replace("<","<");
html=html.replaceAll(">",">");
returnhtml;
}
有些人是在入库的时候做HTML编码,这样与原意不付,应该在出库的时候转码,如果输出载体为HTML页面,则进行HTML转码……。如果是用户控件一类的,就可以不做HTML转码了。
真正麻烦的是,在一些场合我们要允许用户输入HTML,又要过滤其中的脚本。Tidy等HTML清理库可以帮忙……本文不讨论这种情况……
STEP2:检测
主要对用户输入内容在显示时的页面进行检测,照上面列个清单出来
STEP3:检测结果纪录表
STEP4:根据检测结果做修复,在纪录表上记录修复结果
STEP5:复测,在纪录表上记录复测结果
相关文章推荐
- js跨域脚本攻击java解决方案
- XSS跨站点脚本攻击
- XSS 跨域脚本攻击解决方案
- XSS跨站点脚本攻击解决方案
- Cross Frame Script (跨框架脚本) 攻击
- WPF/Silverlight深度解决方案:(十)与嵌入式脚本语言Lua & Javascript的交互(上)
- Cookies 的跨域脚本攻击 - Github 迁移域名的安全详解
- PHP的$_SERVER['PHP_SELF']造成的XSS漏洞攻击及其解决方案
- LR11设定场景运行脚本,出现Error: missing newline in C:\Administrater\ProgramFiles\文件夹(实际的路径).dat原因及解决方案
- LR11负载正确的脚本,报错Error:-27727解决方案
- ASP.Net的validateRequest属性与跨站点脚本攻击
- 常见的ASP脚本攻击及防范技巧
- Linux使用libnet实现ARP攻击脚本原理分析以防被攻击
- HID高级攻击姿势:利用PowerShell脚本进行文件窃取
- shell脚本中cd命令无效的解决方案
- SHELL脚本“SYNTAX ERROR:UNEXPECTED END OF FILE”解决方案
- 关于CSRF攻击及mvc中的解决方案 [ValidateAntiForgeryToken]
- linux+php+apache web调用python脚本权限问题解决方案
- 怎样过滤跨站恶意脚本攻击(XSS)
- linux下scala脚本运行报错error: expected class or object definition 解决方案