码迷,mamicode.com
首页 > Web开发 > 详细

web安全(xss攻击和csrf攻击)

时间:2020-02-14 01:01:21      阅读:100      评论:0      收藏:0      [点我收藏+]

标签:cross   img   rip   隐藏   http   request   用户   class   发送   

1、CSRF攻击:

  CSRF(Cross-site request forgery):跨站请求伪造。

  (1)、攻击原理:

技术图片

  如上图,在B网站引诱用户访问A网站(用户之前登录过A网站,浏览器 cookie 缓存了身份验证信息),

通过调用A网站的接口攻击A网站。

  (2)、防御措施:

  1)token验证:登陆成功后服务器下发token令牌存到用户本地,再次访问时要主动发送token,浏览器只能主动发cookie,做不到主动发token

  2)referer验证:判断页面来源是否自己站点的页面,不是不执行请求

  3)隐藏令牌: 令牌放在http header头中,而不是链接中

2、XSS 攻击:

  XSS(Cross Site Scripting):跨域脚本攻击。

  (1)、攻击原理:

  不需要你做任何的登录认证,它会通过合法的操作(比如在url中输入、在评论框中输入),向你的页面注入脚本(可能是js、hmtl代码块等)。

  (2)、防御措施:

  令xss无法攻击,比如对注入的东西进行转义、编码、过滤、校正等。

3、区别:  

  CSRF:需要用户先登录网站A,获取 cookie。XSS:不需要登录。

  CSRF:是利用网站A本身的漏洞,去请求网站A的api。XSS:是向网站 A 注入 JS代码,然后执行 JS 里的代码,篡改网站A的内容。

web安全(xss攻击和csrf攻击)

标签:cross   img   rip   隐藏   http   request   用户   class   发送   

原文地址:https://www.cnblogs.com/tg666/p/12305805.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!