常见Web安全漏洞

关注

原创最新推荐文章于 2026-08-16 11:18:06 发布 449 阅读 AI 写同款· GEO 优化 ›

常见Web安全漏洞及其防御常见Web安全漏洞及其防御 1.1 XSS攻击 1.1.1 什么是XSS攻击手段 XSS攻击其实就是使用Javascript脚本注入进行攻击，因为浏览器默认支持脚本语言执行，如果在表单提交的时候，提交一些脚本参数，浏览器可能就直接执行了攻击常见与论坛的评论例如“提交表单后，展示到另一个页面”这个功能，可能会受到XSS脚本注入，本地cookie被读取，远程发送给黑客服务器端，然后可以伪造来发起请... 阅读详情

常见Web安全漏洞

1.web安全常见攻击手段

xss sql注入防盗链 csrf 上传漏洞

2. 信息加密与漏洞扫描

对称加密非对称加密

3. 互联网API接口安全设计

4. 网站安全漏洞扫描与抓包分析

5. Https协议底层原理分析

6.电子商务风控与黑名单和白名单系统

7. 基于多种手打尽防御DDS攻击

通过抓包分析工具拿到token 获取令牌。

上传漏洞如果有个不良脚本就完蛋了文件流需要判断哦

HTTP协议接口保证安全微服务很多接口被调用呀

XSS攻击

什么是XSS攻击手段

XSS攻击使用Javascript脚本注入进行攻击

例如在提交表单后，展示到另一个页面，可能会受到XSS脚本注入，读取本地cookie远程发送给黑客服务器端。

对应html源代码: <script>alert('sss')</script>

最好使用火狐浏览器演示效果谷歌浏览器对xss有防御效果的哦

如何防御XSS攻击

将脚本特殊字符，转换成html源代码进行展示。

汉子编码http://www.toov5.com/classcode/tools/encode_gb2312.asp

步骤：编写过滤器拦截所有getParameter参数，重写httpservletwrapp方法

将参数特殊字符转换成html源代码保存.

直接js脚本语言读取cookie信息，获取会话信息，然后模拟请求

Http请求防盗链

什么是防盗链

比如A网站有一张图片，被B网站直接通过img标签属性引入，直接盗用A网站图片展示。

如何实现防盗链

判断http请求头Referer域中的记录来源的值，如果和当前访问的域名不一致的情况下，说明该图片可能被其他服务器盗用。

XSS攻击使用Js脚本语言，因为了浏览器默认支持及哦啊本语言执行，如果在表单提交的时候，提交一些脚本参数，可能浏览器直接进行解析执行了。

XSS攻击最大漏洞常见论坛 BBS 在提交评论时候页面展示时候输入脚本别人点击时候就会进行执行

像一些特殊字符比如 < > 如果不进行特殊处理的字符处理很快就可能受到XSS攻击

用户如果提交< 转换 < script &gt

程序实现：设计过滤器拦截所有获取的参数将特殊字符转换比如 > 转换成 &gt 进行展示防止 XSS攻击

可以在controller里面获取然后进行改进：

String name = request.getParameter("name");

name.replace(">","&gt");

直接使用第三方的转换！第三方html特殊字符转换工具不仅仅是> < 还有很多的！

汉子编码http://www.mytju.com/classcode/tools/encode_gb2312.asp

步骤：编写过滤器拦截所有getParameter参数，重写httpservletwrapp方法

将参数特殊字符转换成html源代码保存.

controller：

import javax.servlet.http.HttpServletRequest;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;

@Controller
public class IndexController {

    @RequestMapping("/index")
    public String index() {
        return "index";
    }
}

重写Http工具类：

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;

import org.apache.commons.lang.StringEscapeUtils;
import org.apache.commons.lang.StringUtils;

// 重写HttpServletRequestWrapper 防止XSS攻击  检查修改特殊字符
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
    private HttpServletRequest request;

    /**
     * @param request
     */
    public XssHttpServletRequestWrapper(HttpServletRequest request) {
        super(request);
        this.request = request;
    }

    @Override
    public String getParameter(String name) {
        // 过滤getParameter参数 检查是否有特殊字符
        String value = super.getParameter(name);
        System.out.println("value:" + value);
        if (!StringUtils.isEmpty(value)) {
            // 将中文转换为字符编码格式，将特殊字符变为html源代码保存
            value = StringEscapeUtils.escapeHtml(value);
            System.out.println("newValue:" + value);
        }
        return value;
    }

}

拦截器：

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;

import com.itmayiedu.httprequest.XssHttpServletRequestWrapper;

// 过滤器 拦截所有请求 XSS 攻击
 @WebFilter(filterName = "xssFilter", urlPatterns = "/*")
 public class XssFilter implements Filter {

 public void init(FilterConfig filterConfig) throws ServletException {

 }

 
 public void destroy() {

 }

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
        throws IOException, ServletException {
    System.out.println("拦截器");
     HttpServletRequest req = (HttpServletRequest) request;
     XssHttpServletRequestWrapper xssHttpServletRequestWrapper = new  XssHttpServletRequestWrapper(req);
     chain.doFilter(xssHttpServletRequestWrapper, response);
    
}
 }