一、XSS
【Cross Site Script】跨站脚本攻击
恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的。
防御方法:
1.过滤关键字:script javascript等
/**
* [hasIllegalChar 判断是否含有script非法字符]
* @param {[type]} str [要判断的字符串]
* @return {Boolean} [true:含有,验证不通过;false:不含有,验证通过]
*/
function hasIllegalChar(str) {
return new RegExp(".*?script[^>]*?.*?(<\/.*?script.*?>)*", "ig").test(str);
2.限制输入,规定输入的只能是某些格式的数据
/**
将含有<>等符号转化为其他字符简单方便
**/
function safeStr(str){
return str.replace(/</g,'<').replace(/>/g,'>').replace(/"/g, """).replace(/'/g, "'");
二、 CSRF
【Cross Site Request Forgery】站点伪造请求
跨站点参考伪造通过在访问用户被认为已经通过身份验证的Web应用程序的页面中包含恶意代码或链接来工作。 如果该Web应用程序的会话没有超时,攻击者可能执行未授权的命令。
防御方法:
1.在请求地址中添加 token 并验证
2.在HTTP 头中自定义属性并验证
3.验证 HTTP Referer 字段 ;
(Http协议头中的Referer主要用来让服务器判断来源页面, 即用户是从哪个页面来的,通常被网站用来统计用户来源,是从搜索页面来的,还是从其他网站链接过来,或是从书签等访问,以便网站合理定位.Referer有时也被用作防盗链, 即下载时判断来源地址是不是在网站域名之内, 否则就不能下载或显示,很多网站,如天涯就是通过Referer页面来判断用户是否能够下载图片.)
三、SQL注入
用户可以提交一段数据库查询代码,根据程序返回的结果,获得某些他想得知的数据。
防御方法:
1.采用sql语句预编译和绑定变量,是防御sql注入的最佳方法。采用JDBC的预编译语句集,它内置了处理SQL注入的能力,只要使用它的setXXX方法传值即可。
2.使用正则表达式来过滤一些sql关键字,如or、where等。
四、文件上传攻击
防御方法:
文件上传的目录设置为不可执行。
判断文件类型。在判断文件类型的时候,可以结合使用MIME Type,后缀检查等方式。因为对于上传文件,不能简单地通过后缀名称来判断文件的类型,因为攻击者可以将可执行文件的后缀名称改为图片或其他后缀类型,诱导用户执行。
对上传的文件类型进行白名单校验,只允许上传可靠类型。
上传的文件需要进行重新命名,使攻击者无法猜想上传文件的访问路径,将极大地增加攻击成本。
限制上传文件的大小。
单独设置文件服务器的域名。