java反射行跨站脚本攻击_Web安全之防止XSS跨站脚本攻击

XSS攻击全称跨站脚本攻击(Cross-site scripting)，为和CSS区别，改为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意的web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。

XSS攻击的产生原因是对外部输入的参数没有做严格过滤，导致输入参数直接参与页面源代码，相当于页面源代码可以被外部修改，因此可能被改变页面结构、植入恶意脚本，可被用于钓鱼、盗取数据、篡改页面等。解决的方法是加强页面输出过滤或转义，如ESAPI的Encoder转义、自定义转义，或者采用不存在XSS风险的页面标签进行输出。

攻击分类

反射型XSS攻击

又称为非持久性跨站点脚本攻击。漏洞产生的原因是攻击者注入的数据反映在响应中。一个典型的非持久性XSS包含一个带XSS攻击向量的链接(即每次攻击需要用户的点击)。

例子

http://www.test.com/message.php?send=Hello,World

接收者将会接收信息显示Hello,World

http://www.test.com/message.php?send=

接收者接收消息显示的时候将会弹出警告窗口显示foolish！

存储型XSS攻击

又称为持久型跨站点脚本，它一般发生在XSS攻击向量(一般指XSS攻击代码)存储在网站数据库，当一个页面被用户打开的时候执行。每当用户打开浏览器,脚本执行。持久的XSS相比非持久性XSS攻击危害性更大,因为每当用户打开页面，查看内容时脚本将自动执行。

例子

一个正常的表单,正常操作是用户提交相应留言信息；将数据存储到数据库；其他用户访问，应用查询数据并显示。

攻击