前端安全之xss与xsrf

最新推荐文章于 2024-08-02 17:24:04 发布

前端黑翼

最新推荐文章于 2024-08-02 17:24:04 发布

阅读量4.5k

点赞数 8

文章标签： xss csrf 安全 http

本文链接：https://blog.youkuaiyun.com/qq_41801117/article/details/115267308

版权

本文探讨了前端安全中的两个重要威胁：XSS（跨站脚本攻击）和XSFR（跨站请求伪造）。介绍了XSS的原理、攻击场景及防御措施，并详细解析了XSFR的概念、攻击过程及防止策略。通过学习，可以提升对前端安全的理解和防护能力。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

提到前端安全，往往离不开xss(跨站脚本攻击)、xsrf(跨站伪造请求)，在此记录一下关于前端安全的学习过程。

什么是xss？

跨站脚本攻击(Cross Site Scripting)，为了不和css(层叠样式表)混淆，故记为xss。其原理是利用用户对某个指定网站的信任，被恶意用户进行了web攻击(通常这种攻击会利用js实现)。

简单攻击场景

某用户A逛网站时发现某可以分享文章的论坛，非常感兴趣，写下以下文章
用户A：你好，我是用户A，<script>alert(3)</script>
然后用户A将此文章提交至论坛上，假设论坛没有做任何安全防护。
用户B看见

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

前端黑翼

关注关注

8
点赞
踩
16

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

XSS及CSRF攻击防御

zl的博客

08-17

1万+

一、概念： XSS攻击全称跨站脚本攻击(Cross Site Scripting); CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF; 二、XSS 什么是 XSS ？ XSS (Cross Site Scripting)，即跨站脚本攻击，是一种常见于...

前端安全：XSS和CSRF

yangyang的专栏

07-09

1198

1.概念 XSS：Cross Site Script，中译是跨站脚本攻击 CSRF：Cross-site request forgery，中文为跨站请求伪造 XSS 攻击是指攻击者在网站上注入恶意的客户端代码，通过恶意脚本对客户端网页进行篡改，从而在用户浏览网页时，对用户浏览器进行控制或者获取用户隐私数据的一种攻击方式。 CSRF是一种劫持受信任用户向服务器发送非预期请求的攻击方式。通常情况下，C...

参与评论您还未登录，请先登录后发表或查看评论

XSS和XSRF

yellowfish222的博客

08-07

443

**XSS(跨站脚本攻击)**:XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。 **XSRF跨站请求攻击**:简单地说，是攻击者通过一些技术手段欺骗用户的...

注意安全！XSS 和 XSRF

weixin_33696822的博客

05-15

151

[Tips] 本文是从 jianshu 平台重新修改编辑后移植来的，比上一版本做了些修订。最近在看一些关于网络安全的问题，当然许多是跟前端相关的，包括且不局限于xss和xsrf 了，那么小编就结合最近的学习实践谈一些粗浅的认识。（\(^o^)/，我是一个喜欢做实验的家伙）XSS （Cross Site Script）跨站脚本攻击！XSS 意思就是跨站脚本攻击。这里面也涉及到跨域的问题，特别是在后面...

前端安全XSS和XSRF

沛沛呀、

05-19

367

安全问题：常见的web前端攻击方式有哪些 XSS跨站请求攻击 XSRF跨站请求伪造 XSS跨站请求攻击博客前端界面嵌入script脚本脚本内容：获取cookie发送到服务器（服务器配合跨域）发布博客，有人查看，可以轻松获取查看人的cookie信息 XSS预防替换特殊字符。例如：<变成&It；>变成&gt，那么script就不会作为脚本执行可以使用https://www.npmjs.com/package/xss的xss工具 XSRF跨站请求伪造（类似于钓鱼

前端安全之XSS和XSRF攻击，及其解决方案

qq_38361229的博客

12-13

835

XSS和CSRF攻击，及其解决方案

前端网络安全，预防攻击

qq_25687271的博客

06-27

1185

XSS 分为三种：反射型，存储型和 DOM-basedXSS 通过修改 HTML 节点或者执行 JS 代码来攻击网站。例如通过 URL 获取某些参数上述 URL 输入可能会将 HTML 改为，这样页面中就凭空多了一段可执行脚本。这种攻击类型是反射型攻击，也可以说是 DOM-based 攻击。也有另一种场景，比如写了一篇包含攻击代码的文章，那么可能浏览文章的用户都会被攻击到。这种攻击类型是存储型攻击，也可以说是 DOM-based 攻击，并且这种攻击打击面更广。如何防御最普遍的做法是转义输入输出

Web开发中的 XSS、CSRF/XSRF、CORS

weixin_45678031的博客

06-09

650

XSS 跨站脚本攻击向正常网站的表单中注入恶意脚本代码，窃取网站私有内容，比如窃取cookies、localstorage、sessionstorage的内容。防御策略设置cookies为HttpOnly 使cookie不可被js读取操作。 CSRF/XSRF 跨站请求伪造诱导用户在恶意网站内点击链接，链接请求正常网站的功能业务，会自动携带正常网站的cookies，在用户不知情的情况下完成一些操作。防御策略健强服务端逻辑，严格restful风格，可以防御一些低端的攻击。利用请求头中的refe

JS安全问题之XSRF(CSRF)

qq_25503949的博客

07-21

945

JS安全问题之XSRF(CSRF) 一.什么是CSRF： img标签可以直接跨域传递用户信息二.如何预防：为啥使用post接口：因为，使用post接口，进行跨域请求很困难，简单地用img标签肯定实现不了，因为需要后端的配合。三.面试题 XSS和CSRF的区别： xss：跨站点攻击。xss攻击的主要目的是想办法获取目标攻击网站的cookie，因为有了cookie相当于有了session，有了这些信息就可以在任意能接进互联网的PC登陆该网站，并以其他人的身份登陆做破坏。预防措施防止下发界面显示htm

csrf（跨站请求伪造）的原理与防范

weixin_39944891的博客

07-17

665

转载地址：https://www.cnblogs.com/collin/articles/9637999.html CSRF概念：CSRF跨站点请求伪造(Cross—Site Request Forgery)，跟XSS攻击一样，存在巨大的危害性，你可以这样来理解：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送...

XSS 和 CSRF

sun_cainiao的博客

03-21

784

介绍两种最常见的针对 web 应用的攻击方式。 XSS （Cross-site scripting）跨站脚本攻击攻击者能够利用跨站脚本漏洞来绕过访问控制（access control），比如单源策略（same-origin policy）。单源策略: 如果一个站点的内容有权限访问浏览器上的某些资源（比如 cookie），那么来自这个站点的所有内容都可以共享这些权限。跨站点脚...

【WEB安全】XSS和XSRF介绍及防御手段

及时行乐

10-11

766

XSS 跨站脚本攻击(cross site scripting) XSS攻击分为：反射型、存储型、DOM型反射型利用页面缺陷，执行脚本，从而获取用户信息。比如：页面获取用户输入信息（用户输入），服务端未经过字符串转义或处理，直接返回到客户端。浏览器就很容易受到XSS攻击，比如可以在页面添加脚本，把用户Cookie信息发送到黑客服务器上。这样黑客就可以获得用户登录态，进行模拟登陆。存储型 ...

前端常见面试题之防抖、节流、xss、xsrf

jieyucx的博客

01-18

1680

跨站请求伪造（Cross-Site Request Forgery，CSRF）是一种攻击方式，攻击者通过欺骗用户在已登录的网站上完成一些未经用户授权的操作，通常是利用用户的身份去执行一些针对该网站的请求。当用户在页面上连续触发某个事件时，比如连续点击按钮、连续输入搜索关键词等，防抖函数可以确保只有最后一次触发的事件被执行。当用户在输入框中连续输入内容时，比如搜索框的实时搜索功能，防抖函数可以延迟发送请求或执行搜索操作，直到用户停止输入一段时间才触发，避免多次请求或操作。结果是，在滚动事件触发时，

前端XSS与XSRF攻击与防范

JimmyLLLin的博客

03-02

452

XSS攻击:只要输入的JS在页面中以不符合开发者的预期进行运行都属于XSS攻击。例如：文本框输入、URL输入等 XSS攻击防范： 1.通过转义来解决，使得<script>的"<"或">"转义为其它符号，显示时再由其它符号变回原状。 2.XSS攻击很大程度上是为了获取cookie以盗取登录状态，可以在服务端设置cookie参数http-only使得客户端无法读取cookie...

XSS与CSRF

afterlake的博客

06-10

1221

XSS和CSRF是黑客进行Web攻击的两个常用手段，主要目的是绕过浏览器同源策略，非法获取信息资源 XSS（Cross Site Scripting）：跨站脚本虽然名字里带“跨站”，但是可以略过，直接看“脚本”。XSS时发生在浏览器渲染HTML时执行了不被预期的脚本指令的一种安全漏洞。 XSS的主要类型：反射型XSS：利用动态网页特性，将恶意代码的数据提交到服务器，服务器又返回到...

CSRF/XSRF攻击和XSS攻击