WEB网站上的常见攻击方法和解决方案

跨站点脚本（XSS，跨站点脚本）是攻击WEB网站的最常见和基本的方法. 攻击者在网页上发布了包含令人反感的代码的数据. 当浏览器看到该网页时，将以浏览器用户的身份和权限执行特定脚本. XSS使修改用户数据，窃取用户信息以及引发其他类型的攻击（例如CSRF攻击）变得更加容易

常见解决方案: 确保输出到HTML页面的数据以HTML转义

错误页面的漏洞也可能导致XSS攻击. 例如，找不到页面/gift/giftList.htm?page=2，错误页面将直接按原样输出url，如果攻击者在攻击者的URL之后添加攻击代码，则有可能受到XSS攻击<

两个. 跨站点请求伪造攻击（CSRF）

跨站点请求伪造（CSRF）是另一种常见攻击. 攻击者使用各种方法来伪造请求，模仿用户提交表单的行为，从而修改用户数据或执行特定任务. 为了模拟用户的身份，CSRF攻击通常与XSS攻击结合使用，但也可以通过其他方式使用，例如，诱使用户单击包含该攻击的链接

解决方案是:

1. POST请求用于增加攻击难度. 用户可以通过单击链接来发起GET类型请求. POST请求相对困难，攻击者通常需要JavaScript来实现它

2. 对请求进行身份验证，以确保该请求实际上是由用户填写并提交的，而不是由第三方伪造的. 具体来说，可以将令牌添加到会话中，以确保同一个人看到该信息并提交该信息

三个. Http Heads攻击

使用浏览器查看任何WEB网站时http攻击方式，无论您的WEB网站使用何种技术和框架，都将使用HTTP协议. HTTP协议在响应标头和内容之间有一个空白行，即两组CRLF（0x0D 0A）字符. 此空白行标记标题的末尾和内容的开始. “聪明”的攻击者可以利用这一点. 只要攻击者可以将任何字符“注入”标头中，就可以发生这种攻击

以登录为例: 有这样的网址:

％3A％2F％2Flocalhost％2Findex

成功登录后，您需要重定向回到page参数指定的页面. 以下是发生重定向时的响应头.

HTTP / 1.1 302临时移动

日期: 2010年8月17日，星期二，格林尼治标准时间

服务器: Apache mod_fcgid / 2.3.5 mod_auth_passthrough / 2.1 mod_bwlimited / 1.4 FrontPage / 5.0.2.2635

位置:

如果您修改URL，它将如下所示:

％3A％2F％2Flocalhost％2Fcheckout％0D％0A％0D％0A％3Cscript％3Ealert％28％27hello％27％29％3C％2Fscript％3E

发生重定向时的响应如下所示:

HTTP / 1.1 302临时移动

日期: 2010年8月17日，星期二，格林尼治标准时间

服务器: Apache mod_fcgid / 2.3.5 mod_auth_passthrough / 2.1 mod_bwlimited / 1.4 FrontPage / 5.0.2.2635

位置: ； CRLF>