【每日一记10】+第1天+XSS攻击与防御笔记

XSS攻击：跨站脚本攻击指的是自己的网站运行了别的网站里面的代码攻击原理是原本需要接受数据但是一段脚本放置在了数据中。

XSS攻击能做什么？

• 获取页面数据
• 获取Cookies
• 劫持前端逻辑
• 发送请求到攻击者自己的网站实现资料的盗取
• 偷取网站任意数据
• 偷取用户密码和登陆状态
• 改变按钮的逻辑
• 
  
  

  XSS攻击防御

  
  
• HTML节点内容的XSS防御
  转义掉<<和>> 即转义掉<>即可，转义的时机有两种，一种是写入数据库的时候进行转义，另一种是在解析的时候进行转义。

  这里是在显示的时候转义

  var escapeHtml = function(str){  str = str.replace(/>/g, '<');  str = str.replace(/>/g, '>');  return str;}escapeHtml(content);

  
  
• HTML属性的XSS防御
  转义”&quto; 即转义掉双引号，'转义掉单引号，(另一个要注意的是实际上html的属性可以不包括引号，因此严格的说我们还需要对空格进行转义，但是这样会导致渲染的时候空格数不对，因此我们不转义空格，然后再写html属性的时候全部带上引号)这样属性就不会被提前关闭了

  var escapeHtmlProperty = function(str){  str = str.replace(/"/g, '&quto;');  str = str.replace(/'/g, ''');  str = str.replace(/ /g, ' ');  return str;}escapeHtml(content);

  其实以上这两个函数可以合并成一个函数，这样不管是内容还是属性都可以使用一个函数来过滤了：

  HTML转义函数

  var escapeHtmlProperty = function(str){  if(!str) return '';  str = str.replace(/&/g, '&');  str = str.replace(/>/g, '<');   str = str.replace(/>/g, '>');  str = str.replace(/"/g, '&quto;');  str = str.replace(/'/g, ''');  return str;}escapeHtml(content);
• 
  
• 
  
  
  

感谢分享

感谢分享