网站受到XSS跨站点脚本攻击的分析及解决方法
<p>如果用户表单输入一些内容，……特别是一些内容比较多的表单项，且无固定格式 ，如地址，文章内容……此时用户可以输入JS代码等来执行 <br />STEP1：在设计方案上，输入项要尽可能检测格式并限制长度。要有服务端检测，不能依赖客户端检测。在数据库设计上要限制字段长度…… <br />输出页面时需要进行HTML转码,如输出地址内容 <br /><td ><%=convert.html(cus.getAddress())%></td > <br />public static String html(String content) { <br />if(content==null) return ""; <br />String html = content; <br />html = html.replaceAll( "&", "&amp;"); // www.jb51.net替换&号 <br />html = html.replace( "\"", "&quot;"); //" 替换双引号 <br />html = html.replace( "\t", "&nbsp;&nbsp;");// 替换跳格 <br />html = html.replace( " ", "&nbsp;");// 替换空格 <br />html = html.replace("<", "&lt;"); <br />html = html.replaceAll( ">", "&gt;"); <br />return html; <br />} <br />有些人是在入库的时候做HTML编码，这样与原意不付，应该在出库的时候转码，如果输出载体为HTML页面，则进行HTML转码……。如果是用户控件一类的，就可以不做HTML转码了。 <br />真正麻烦的是，在一些场合我们要允许用户输入HTML，又要过滤其中的脚本。Tidy 等HTML 清理库可以帮忙……本文不讨论这种情况 …… <br />STEP2: 检测 <br />主要对用户输入内容在显示时的页面进行检测，照上面列个清单出来 <br />STEP3:检测结果纪录表 <br />STEP4: 根据检测结果做修复，在纪录表上记录修复结果 <br />STEP5:复测，在纪录表上记录复测结果 <br />摘自 attilax的专栏 </p>
頁:
[1]