Web信息安全4-Javascript Attacks防御

原理

攻击者通过修改页面上的HTML以绕过某些检测。如果修改textarea 的 maxlength属性 就可以绕过最大字数限制

攻击方式

1. 启动DVWA， 进入JavaScript
2. 在控制台运行md5(rot13('success')), 拿到这个 token
3. 替换这个
   
4. 在输入框输入success， 提交

原理解析
后端通过token值判断是否可以提交，而这个token我们可以通过开发者工具修改HTML中的表单，即可绕过。虽然这个token是通过看后端的代码才知道的，但道理大都这样，修改页面以绕过检测

防御

1. 永远不要相信用户的输入
2. 不要完全依赖前端，在js、后端中也要做检测

Web信息安全5-点击劫持防御