前端培訓-初級階段 - xss相關（2019-04-18）

VioletJack 發布于2019-08-26 13:43 / 2549人閱讀

摘要：前端最基礎的就是。但是如果是盜竊，異常提交請求，這些就屬于危險操作。可以用來偽裝成其他用戶操作，有可能就會造成財產上的損失。劫持有的時候運營商的劫持還是沒辦法。

前端最基礎的就是 HTML+CSS+Javascript。掌握了這三門技術就算入門，但也僅僅是入門，現在前端開發的定義已經遠遠不止這些。前端小課堂（HTML/CSS/JS），本著提升技術水平，打牢基礎知識的中心思想，我們開課啦（每周四）。

這塊內容是在會后又加了一節（老板說要處理這塊內容）。之前其實就做過一期這樣的內容XSS_跨站腳本攻擊

我們要講什么？

xss 是什么？

攻擊原理是什么？

危害

預防手段是什么？

web 安全還有什么是需要注意的

XSS 是什么？

XSS 攻擊全稱跨站腳本攻擊 (Cross Site Scripting)，是為不和層疊樣式表 (Cascading Style Sheets, CSS) 的縮寫混淆，故將跨站腳本攻擊縮寫為 XSS，XSS 是一種在web應用中的計算機安全漏洞，它允許惡意 web 用戶將代碼植入到提供給其它用戶使用的頁面中。

XSS 攻擊原理

惡意攻擊者往 Web 頁面里插入惡意 javascript 代碼。當其他用戶瀏覽該頁面時，嵌入的代碼會被執行，從而達到惡意攻擊用戶的目的。

XSS 危害

常見于一些私人的博客，攻擊者惡意評論，彈出alert，這種充其量也就是一個玩笑。
但是如果是盜竊cookie，異常提交請求，這些就屬于危險操作。cookie可以用來偽裝成其他用戶操作，有可能就會造成財產上的損失。

預防手段

首先我們來分析他攻擊方式，在其他用戶端執行了一段異常代碼，那么我們不執行不就好了嗎？

富文本情況，這個可屬于重災區，因為你不確定內容是什么，你還要原樣輸出。業界方案一般來說是白名單，比如說等，故意破壞數據的。

toURL，這個就是判斷存在不存在javascript:alert();的情況了。

頁面 innerHTML 或者 write。這個怎么說呢，Vue 或者一些框架是沒問題的，因為他們是插槽法，而不是拼接法。

toHtml，主要用于 jquery ，處理一些字符變成實體編碼

toURL,也是用來判斷javascript:alert();的情況

web 安全問題

XSS、CSRF、arp、xff、中間人攻擊、運營商劫持、防暴刷

CSRF 一般來說就是頁面直出一個token,每次請求都帶上token。

劫持 https有的時候運營商的劫持還是沒辦法。

刷，這個略坑。

參考代碼

參考文獻以及資料

Web安全學習筆記
也是當初在網上找資料發現的。介紹的挺全面的。

云服務器 GPU云服務器初級前端工程師初級前端開發工程師簡歷大數據相關培訓前端培訓前端

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/109390.html

前端培訓-初級階段（13） - 正則表達式

摘要：前端培訓初級階段語法變量值類型運算符語句前端培訓初級階段內置對象函數前端培訓初級階段類模塊繼承基礎內容知識我們會用到。前端最基礎的就是 HTML+CSS+Javascript。掌握了這三門技術就算入門，但也僅僅是入門，現在前端開發的定義已經遠遠不止這些。前端小課堂（HTML/CSS/JS），本著提升技術水平，打牢基礎知識的中心思想，我們開課啦（每周四）。該文為前端培訓-初級階段（1...

suemi 2019-08-26 13:43 評論0 收藏0
前端培訓-中級階段（8）- jQuery元素屬性樣式操作（2019-08-01期）

摘要：前端最基礎的就是。對應，是標簽的屬性。獲取匹配元素相對父元素的偏移。返回的對象包含兩個整型屬性和。一組包含作為動畫屬性和終值的樣式屬性和及其值的集合動畫的額外選項。指示是否在效果隊列中放置動畫。前端最基礎的就是 HTML+CSS+Javascript。掌握了這三門技術就算入門，但也僅僅是入門，現在前端開發的定義已經遠遠不止這些。前端小課堂（HTML/CSS/JS），本著提升技術水平，...

everfly 2019-08-02 15:30 評論0 收藏0
前端培訓-中級階段（8）- jQuery元素屬性樣式操作（2019-08-01期）

摘要：前端最基礎的就是。對應，是標簽的屬性。獲取匹配元素相對父元素的偏移。返回的對象包含兩個整型屬性和。一組包含作為動畫屬性和終值的樣式屬性和及其值的集合動畫的額外選項。指示是否在效果隊列中放置動畫。前端最基礎的就是 HTML+CSS+Javascript。掌握了這三門技術就算入門，但也僅僅是入門，現在前端開發的定義已經遠遠不止這些。前端小課堂（HTML/CSS/JS），本著提升技術水平，...

james 2019-08-23 18:34 評論0 收藏0
前端培訓-中級階段（8）- jQuery元素屬性樣式操作（2019-08-01期）

摘要：前端最基礎的就是。對應，是標簽的屬性。獲取匹配元素相對父元素的偏移。返回的對象包含兩個整型屬性和。一組包含作為動畫屬性和終值的樣式屬性和及其值的集合動畫的額外選項。指示是否在效果隊列中放置動畫。前端最基礎的就是 HTML+CSS+Javascript。掌握了這三門技術就算入門，但也僅僅是入門，現在前端開發的定義已經遠遠不止這些。前端小課堂（HTML/CSS/JS），本著提升技術水平，...

bang590 2019-08-30 11:21 評論0 收藏0
XSS分析及預防

摘要：分析及預防，又稱跨站腳本，的重點不在于跨站點，而是在于腳本的執行。在這里需要強調一點的是，默認會禁止代碼塊的執行禁止內聯事件處理函數禁止內聯樣式禁止和。 XSS分析及預防 XSS（Cross Site Scripting），又稱跨站腳本，XSS的重點不在于跨站點，而是在于腳本的執行。在WEB前端應用日益發展的今天，XSS漏洞尤其容易被開發人員忽視，最終可能造成對個人信息的泄漏。如今，...

smartlion 2019-08-19 18:13 評論0 收藏0