Web安全

Web中常见的攻击方式:

  XSS跨站脚本攻击

  DDoS分布式拒绝服务攻击

  Server limit DoS HTTP头超长导致无法访问

攻击类型:

  反射型:发出请求时,XSS代码出现在URL中,做为输入提交到服务器端,服务器端解析后响应,XSS代码随响应内容一起传回给浏览器,最后浏览器解析执行XSS代码,这个过程像一次反射,故叫做反射型。

  存储型:存储型XSS和反射型XSS的差别仅在于,提交的代码会存储在服务器端(数据库、内存、文件系统等),下次请求页面时不用再提交XSS代码。

防御措施:
  编码:对用户输入的数据进行html实体转义
  过滤:移除用户上传的DOM属性,如onerror等,移除用户上传的style节点、script节点、iframe节点等能引入其他页面资源的标签等
  校验:避免直接对html转义符实体解码,使用DOM parse转换,校正不配对的DOM标签