跨站脚本攻击的方法和防御

最新推荐文章于 2023-01-16 23:10:44 发布

yozosoft_user719

最新推荐文章于 2023-01-16 23:10:44 发布

阅读量1.2k

点赞数

攻击方法1

使用者可以輸入Script語法，造成XSS的攻擊。

攻击方法2

使用者可能留下惡意連結，讓其他的瀏覽者點閱後導向惡意網站。

解决方案1

較常用的手段就是進行輸入資料的過濾，將危險字元進行替換，程式碼如下：

<body>
<H3>留言內容</H3>
<fieldset><h2>
<% 
String message = request.getParameter("message");
message = message.replace ('<',' '); 
message = message.replace ('>',' '); 
message = message.replace ('"',' ');
message = message.replace ('\'',' ');
message = message.replace ('/',' ');
message = message.replace ('%',' '); 
message = message.replace (';',' '); 
message = message.replace ('(',' '); 
message = message.replace (')',' '); 
message = message.replace ('&',' '); 
message = message.replace ('+','_'); 
out.print(message);
%>
</h2>
</fieldset>
</body>

解决方案2

利用正規函式，只顯示允許使用者輸入指定的字元：

<H3>留言內容</H3>
<fieldset><h2>
<% 
String message = request.getParameter("message");
if(isValidInput(message)){
	out.print(message);
}
else
	out.print("you have WRONG Input!");
 
%>
</h2>
</fieldset>
<%!
public boolean isValidInput(String str) 
{ 
if(str.matches("[a-zA-Z0-9 ]+")) return true; 
else return false; 
}
%>