亚洲乱码中文字幕综合,中国熟女仑乱hd,亚洲精品乱拍国产一区二区三区,一本大道卡一卡二卡三乱码全集资源,又粗又黄又硬又爽的免费视频

網(wǎng)站受到XSS跨站點(diǎn)腳本攻擊的分析及解決方法

  發(fā)布時(shí)間：2012-06-07 08:01:19   作者：佚名   我要評(píng)論
本文詳細(xì)講了如何避免XSS跨站點(diǎn)腳本攻擊

如果用戶表單輸入一些內(nèi)容，……特別是一些內(nèi)容比較多的表單項(xiàng)，且無(wú)固定格式 ，如地址，文章內(nèi)容……此時(shí)用戶可以輸入JS代碼等來(lái)執(zhí)行
STEP1：在設(shè)計(jì)方案上，輸入項(xiàng)要盡可能檢測(cè)格式并限制長(zhǎng)度。要有服務(wù)端檢測(cè)，不能依賴客戶端檢測(cè)。在數(shù)據(jù)庫(kù)設(shè)計(jì)上要限制字段長(zhǎng)度……
輸出頁(yè)面時(shí)需要進(jìn)行HTML轉(zhuǎn)碼,如輸出地址內(nèi)容
<td ><%=convert.html(cus.getAddress())%></td >
public static String html(String content) {
if(content==null) return "";
String html = content;
html = html.replaceAll( "&", "&amp;"); // chabaoo.cn替換&號(hào)
html = html.replace( "\"", "&quot;"); //" 替換雙引號(hào)
html = html.replace( "\t", "&nbsp;&nbsp;");// 替換跳格
html = html.replace( " ", "&nbsp;");// 替換空格
html = html.replace("<", "&lt;");
html = html.replaceAll( ">", "&gt;");
return html;
}
有些人是在入庫(kù)的時(shí)候做HTML編碼，這樣與原意不付，應(yīng)該在出庫(kù)的時(shí)候轉(zhuǎn)碼，如果輸出載體為HTML頁(yè)面，則進(jìn)行HTML轉(zhuǎn)碼……。如果是用戶控件一類的，就可以不做HTML轉(zhuǎn)碼了。
真正麻煩的是，在一些場(chǎng)合我們要允許用戶輸入HTML，又要過(guò)濾其中的腳本。Tidy 等HTML 清理庫(kù)可以幫忙……本文不討論這種情況 ……
STEP2: 檢測(cè)
主要對(duì)用戶輸入內(nèi)容在顯示時(shí)的頁(yè)面進(jìn)行檢測(cè)，照上面列個(gè)清單出來(lái)
STEP3:檢測(cè)結(jié)果紀(jì)錄表
STEP4: 根據(jù)檢測(cè)結(jié)果做修復(fù)，在紀(jì)錄表上記錄修復(fù)結(jié)果
STEP5:復(fù)測(cè)，在紀(jì)錄表上記錄復(fù)測(cè)結(jié)果
摘自 attilax的專欄

相關(guān)文章

最新評(píng)論