欧美bbbwbbbw肥妇,免费乱码人妻系列日韩,一级黄片

網(wǎng)站受到XSS跨站點腳本攻擊的分析及解決方法

  發(fā)布時間：2012-06-07 08:01:19   作者：佚名   我要評論
本文詳細講了如何避免XSS跨站點腳本攻擊

如果用戶表單輸入一些內(nèi)容，……特別是一些內(nèi)容比較多的表單項，且無固定格式 ，如地址，文章內(nèi)容……此時用戶可以輸入JS代碼等來執(zhí)行
STEP1：在設(shè)計方案上，輸入項要盡可能檢測格式并限制長度。要有服務(wù)端檢測，不能依賴客戶端檢測。在數(shù)據(jù)庫設(shè)計上要限制字段長度……
輸出頁面時需要進行HTML轉(zhuǎn)碼,如輸出地址內(nèi)容
<td ><%=convert.html(cus.getAddress())%></td >
public static String html(String content) {
if(content==null) return "";
String html = content;
html = html.replaceAll( "&", "&amp;"); // www.dbjr.com.cn替換&號
html = html.replace( "\"", "&quot;"); //" 替換雙引號
html = html.replace( "\t", "&nbsp;&nbsp;");// 替換跳格
html = html.replace( " ", "&nbsp;");// 替換空格
html = html.replace("<", "&lt;");
html = html.replaceAll( ">", "&gt;");
return html;
}
有些人是在入庫的時候做HTML編碼，這樣與原意不付，應(yīng)該在出庫的時候轉(zhuǎn)碼，如果輸出載體為HTML頁面，則進行HTML轉(zhuǎn)碼……。如果是用戶控件一類的，就可以不做HTML轉(zhuǎn)碼了。
真正麻煩的是，在一些場合我們要允許用戶輸入HTML，又要過濾其中的腳本。Tidy 等HTML 清理庫可以幫忙……本文不討論這種情況 ……
STEP2: 檢測
主要對用戶輸入內(nèi)容在顯示時的頁面進行檢測，照上面列個清單出來
STEP3:檢測結(jié)果紀(jì)錄表
STEP4: 根據(jù)檢測結(jié)果做修復(fù)，在紀(jì)錄表上記錄修復(fù)結(jié)果
STEP5:復(fù)測，在紀(jì)錄表上記錄復(fù)測結(jié)果
摘自 attilax的專欄

相關(guān)文章

最新評論