XSS

cross site script 跨站脚本攻击。

原理

  • 攻击者首先注入攻击脚本到第三方正规平台网站
  • 受害用户点击链接后，会把网站cookie信息发送到hacker指定的URL。
  • hacker盗取到cookie后可以以受害者身份登陆

防范

  • HttpOnly cookie
    如果您在cookie中设置了HttpOnly属性，那么通过js脚本将无法读取到cookie信息，这样能有效的防止XSS攻击

  • 提交值检查
    过滤tag值