欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  网络运营

网站受到XSS跨站点脚本攻击的分析及解决方法

程序员文章站 2022-06-28 08:57:02
本文详细讲了如何避免XSS跨站点脚本攻击... 12-06-07...

如果用户表单输入一些内容,……特别是一些内容比较多的表单项,且无固定格式 ,如地址,文章内容……此时用户可以输入js代码等来执行
step1:在设计方案上,输入项要尽可能检测格式并限制长度。要有服务端检测,不能依赖客户端检测。在数据库设计上要限制字段长度……
输出页面时需要进行html转码,如输出地址内容
<td ><%=convert.html(cus.getaddress())%></td >
public static string html(string content) {
if(content==null) return "";
string html = content;
html = html.replaceall( "&", "&amp;"); // 替换&号
html = html.replace( "\"", "&quot;"); //" 替换双引号
html = html.replace( "\t", "&nbsp;&nbsp;");// 替换跳格
html = html.replace( " ", "&nbsp;");// 替换空格
html = html.replace("<", "&lt;");
html = html.replaceall( ">", "&gt;");
return html;
}
有些人是在入库的时候做html编码,这样与原意不付,应该在出库的时候转码,如果输出载体为html页面,则进行html转码……。如果是用户控件一类的,就可以不做html转码了。
真正麻烦的是,在一些场合我们要允许用户输入html,又要过滤其中的脚本。tidy 等html 清理库可以帮忙……本文不讨论这种情况 ……
step2: 检测
主要对用户输入内容在显示时的页面进行检测,照上面列个清单出来
step3:检测结果纪录表
step4: 根据检测结果做修复,在纪录表上记录修复结果
step5:复测,在纪录表上记录复测结果
摘自 attilax的专栏