当前位置： 首页 > news >正文 网站做端口是什么江苏省住房和城乡建设局网站首页 news 2025/11/1 2:09:25 网站做端口是什么,江苏省住房和城乡建设局网站首页,微信小程序卖货怎么注册,公司网站开发费进什么费用web安全策略和同源策略的意义 如果登陆了一个网站#xff0c;不小心又打开另一个恶意网站#xff0c;如果没有安全策略#xff0c;则他可以对已登录的网站进行任意的dom操作、伪造接口请求等#xff0c;因此安全策略是必要的#xff1b; 浏览器的同源策略限制了非同源的域…web安全策略和同源策略的意义 如果登陆了一个网站不小心又打开另一个恶意网站如果没有安全策略则他可以对已登录的网站进行任意的dom操作、伪造接口请求等因此安全策略是必要的 浏览器的同源策略限制了非同源的域名之间不可以对DOM进行读写操作、不可以读取非同源的cookie、indexDB、localStorge等数据与资源 XSS-跨站脚本攻击 理解 由于实际业务不可能完全不引用第三方的资源因此需要跨域访问而支持第三方资源引用就会容易引起XSS攻击。XSS是一种代码注入攻击攻击者在网站注入恶意脚本在浏览器上运行从而盗取用户cookie等信息。 危害特点 窃取cookie信息利用CORS将cookie上传到攻击者的服务器监听用户行为比如利用addEventListener监听用户键盘事件获取用户输入的用户名密码等修改DOM伪造登陆窗口骗取用户输入的用户名和密码等信息生成悬浮广告在页面生成悬浮广告诱导用户点击 攻击类型 存储型XSS攻击者将恶意脚本注入到有漏洞的服务器当浏览器访问带有恶意脚本的页面时就会上传用户信息到恶意服务器反射型XSS攻击者诱导用户点击一个连接然后将带有恶意代码的请求发送到服务器服务器将恶意代码返回反射到浏览器完成最终XSS攻击基于DOM的XSS这个攻击方法不会涉及到服务器是在web页面资源传输过程中或者用户使用web页面过程中 修改web页面的数据。这个劫持类型较多例如本地软件劫持、路由器劫持 防御方法 无论是哪种攻击类型他们的共同特点都是先将恶意脚本注入浏览器然后将用户信息发送到恶意服务器。所以阻止XSS攻击要从防止浏览器脚本注入和阻止恶意消息的发送方面来实施。 服务器对输入脚本关键字符进行过滤或转码例如 将script 转为 lt;scriptgt;使用验证码防止伪造用户提交对于不受信任的输入限制输入长度使用HttpOnly属性标记cookieHttpOnly属性标记的cookie只能用于请求携带不能通过js访问采用纯前端渲染。不使用服务器渲染通过接口请求的方式然后使用innerText、setAttrbute等方法设置内容与属性使用CSP安全策略。CSP的本质是建立白名单。可以指定哪些外部资源可以加载来避免恶意第三方脚本的加载也可以禁止向第三方域提交数据防止信息外泄还可以禁止执行内联脚本和未授权的脚本还提供了上报机制这样可以帮助我们尽快的发现有哪些XSS攻击然后进行修复。 CRSF-跨域请求伪造攻击 理解 CRSF是指跨站请求伪造攻击攻击者诱导用户进入第三方网站在攻击者的网站中利用用户的登陆状态伪造跨域请求绕过服务器的用户验证从服务器获取信息。 他的本质是利用同源请求会携带cookie发送到服务器来冒充用户。 攻击类型 get类型比如用户在网站中的img标签中构建一个请求在用户点击时自动发送请求post类型比如构建一个隐藏的表单在用户进入页面时自动提交链接类型比如在a标签的href属性中构建一个请求在用户点击的时候自动发送 防御方法 他的攻击特点是利用服务器的漏洞因此主要是提升服务器的安全性。 利用cookie的SameSite属性。Strict-完全禁止第三方cookieLax-对于get链接的形式可以携带None-没有任何限制验证请求的来源站点。服务器根据http请求头中的origin或referer判断是否为运行的站点如果这两个值都不存在则直接拒绝该请求。缺点是有些情况referer也可以被伪造使用CSRF Token验证。浏览器向服务器发起请求时服务器生成一个随机的CSRF Token当浏览器再次发送请求时携带此Token服务器会根据这个token进行验证。缺点是流程繁琐每个请求都要携带Token其次如果服务器搭载了负载均衡如果请求被分配到其他服务器这个服务器session中没有缓存这个token也无法完成验证对cookie进行双重验证。浏览器访问页面时服务器向请求域名中注入一个随机字符串cookie当用户再次访问时获取cookie中的字符串并拼接到URL中服务器根据参数中的字符串和cookie中的字符串进行对比完成验证。优点比上述两种实现都为简单方便缺点如果同时遭遇了XSS攻击则也将失效 文章转载自： http://www.morning.fbzdn.cn.gov.cn.fbzdn.cn http://www.morning.tlrxp.cn.gov.cn.tlrxp.cn http://www.morning.gbhsz.cn.gov.cn.gbhsz.cn http://www.morning.gqwpl.cn.gov.cn.gqwpl.cn http://www.morning.xcyhy.cn.gov.cn.xcyhy.cn http://www.morning.nhzxr.cn.gov.cn.nhzxr.cn http://www.morning.kgnrh.cn.gov.cn.kgnrh.cn http://www.morning.tkcz.cn.gov.cn.tkcz.cn http://www.morning.rrqbm.cn.gov.cn.rrqbm.cn http://www.morning.nggbf.cn.gov.cn.nggbf.cn http://www.morning.fewhope.com.gov.cn.fewhope.com http://www.morning.tgczj.cn.gov.cn.tgczj.cn http://www.morning.jwfkk.cn.gov.cn.jwfkk.cn http://www.morning.cfccp.cn.gov.cn.cfccp.cn http://www.morning.gkmwx.cn.gov.cn.gkmwx.cn http://www.morning.zqbrd.cn.gov.cn.zqbrd.cn http://www.morning.rtjhw.cn.gov.cn.rtjhw.cn http://www.morning.lfbsd.cn.gov.cn.lfbsd.cn http://www.morning.hcqd.cn.gov.cn.hcqd.cn http://www.morning.jxlnr.cn.gov.cn.jxlnr.cn http://www.morning.zfzgp.cn.gov.cn.zfzgp.cn http://www.morning.prmbn.cn.gov.cn.prmbn.cn http://www.morning.jhgxh.cn.gov.cn.jhgxh.cn http://www.morning.gpryk.cn.gov.cn.gpryk.cn http://www.morning.jhswp.cn.gov.cn.jhswp.cn http://www.morning.wmhlz.cn.gov.cn.wmhlz.cn http://www.morning.zsthg.cn.gov.cn.zsthg.cn http://www.morning.qmncj.cn.gov.cn.qmncj.cn http://www.morning.lwgsk.cn.gov.cn.lwgsk.cn http://www.morning.pflpb.cn.gov.cn.pflpb.cn http://www.morning.ykbgs.cn.gov.cn.ykbgs.cn http://www.morning.jbtlf.cn.gov.cn.jbtlf.cn http://www.morning.fdjwl.cn.gov.cn.fdjwl.cn http://www.morning.nthyjf.com.gov.cn.nthyjf.com http://www.morning.byxs.cn.gov.cn.byxs.cn http://www.morning.aishuxue.com.cn.gov.cn.aishuxue.com.cn http://www.morning.xdmsq.cn.gov.cn.xdmsq.cn http://www.morning.sxjmz.cn.gov.cn.sxjmz.cn http://www.morning.rxpp.cn.gov.cn.rxpp.cn http://www.morning.zsrdp.cn.gov.cn.zsrdp.cn http://www.morning.kcsx.cn.gov.cn.kcsx.cn http://www.morning.rwxnn.cn.gov.cn.rwxnn.cn http://www.morning.gyfhk.cn.gov.cn.gyfhk.cn http://www.morning.jwfkk.cn.gov.cn.jwfkk.cn http://www.morning.xpqdf.cn.gov.cn.xpqdf.cn http://www.morning.cwznh.cn.gov.cn.cwznh.cn http://www.morning.pdbgm.cn.gov.cn.pdbgm.cn http://www.morning.ypmqy.cn.gov.cn.ypmqy.cn http://www.morning.plwfx.cn.gov.cn.plwfx.cn http://www.morning.kjmcq.cn.gov.cn.kjmcq.cn http://www.morning.fjzlh.cn.gov.cn.fjzlh.cn http://www.morning.cbtn.cn.gov.cn.cbtn.cn http://www.morning.wqhlj.cn.gov.cn.wqhlj.cn http://www.morning.kfmnf.cn.gov.cn.kfmnf.cn http://www.morning.cykqg.cn.gov.cn.cykqg.cn http://www.morning.qlkjh.cn.gov.cn.qlkjh.cn http://www.morning.oumong.com.gov.cn.oumong.com http://www.morning.tfpmf.cn.gov.cn.tfpmf.cn http://www.morning.dphmj.cn.gov.cn.dphmj.cn http://www.morning.fsrtm.cn.gov.cn.fsrtm.cn http://www.morning.gkxyy.cn.gov.cn.gkxyy.cn http://www.morning.kqxng.cn.gov.cn.kqxng.cn http://www.morning.mcfjq.cn.gov.cn.mcfjq.cn http://www.morning.xwrhk.cn.gov.cn.xwrhk.cn http://www.morning.hpxxq.cn.gov.cn.hpxxq.cn http://www.morning.rnsjp.cn.gov.cn.rnsjp.cn http://www.morning.ai-wang.cn.gov.cn.ai-wang.cn http://www.morning.ntzfl.cn.gov.cn.ntzfl.cn http://www.morning.xkwyk.cn.gov.cn.xkwyk.cn http://www.morning.mfmbn.cn.gov.cn.mfmbn.cn http://www.morning.kngx.cn.gov.cn.kngx.cn http://www.morning.rpkg.cn.gov.cn.rpkg.cn http://www.morning.rfhm.cn.gov.cn.rfhm.cn http://www.morning.prddj.cn.gov.cn.prddj.cn http://www.morning.rykx.cn.gov.cn.rykx.cn http://www.morning.bqyb.cn.gov.cn.bqyb.cn http://www.morning.qfgxk.cn.gov.cn.qfgxk.cn http://www.morning.frtb.cn.gov.cn.frtb.cn http://www.morning.qjmnl.cn.gov.cn.qjmnl.cn http://www.morning.lmrjn.cn.gov.cn.lmrjn.cn 查看全文 http://www.tj-hxxt.cn/news/266797.html 相关文章： 上海网站建设哪家公司好炫酷的企业网站 定制网站建设的流程图跨境电子商务专业就业方向 建设网站有什么风险现在流行做网站吗 资料代做网站网站空间的分类 有哪些网站能免费建站网站建设 中企高程 百度怎么做开锁网站超级营销型网站模板 大团企业网站制作做app推广上哪些网站 课程网站建设 碧辉腾乐做磁力搜索网站违法吗 上海网站开发培训价格Wordpress需要更新吗 流行网站类型做网站生意不赚钱 福建专业网站建设欢迎咨询设计类专业学校有哪些 网站建设公司落寞英文网站推荐 网站研发公司南京网络科技公司 南康市建设局网站0wordpress tint-k主题 建站哪个好一点杭州网络问政平台 网站建设优化服务市场网站开发可以学吗 南京关键词优化软件seo搜索引擎优化就业前景 天津建设网工程信息网站网站 网址 域名 天津网站建设-中国互联国内做的比较好的网站 沂源网站开发静态网站 搜索功能 电商网站的好处网站点击量怎么看 做源码网站赚钱吗建设眼镜网站风格 简述网站的创建流程网店营销模式 无锡哪家公司做网站企查查企业信息查询网官网 平台网站开发风险平湖建设局网站 phpmysql旅游网站开发东莞58同城网招聘找工作 网上商城取名包头seo哪家好 网站被黑了为什么要进行网站备案 广州旅游团购网站建设网站的域名从哪里购买 小白学做网站买什么书万网账户
