CSRF防范对策
1、什么是CSRF
我们再来重温下CSRF的定义：CSRF英文全称是：Cross Site Request Forgery，中文是：跨站点请求伪造。CSRF攻击者在用户已经登录目标网站之后，诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，达到攻击目的。
2、CSRF的主要防范对策
CSRF的主要防范对策有以下几点：
1、验证 HTTP Referer 字段。
2、在请求地址中添加token并验证。
3、在HTTP 头中自定义属性并验证。
4、AngularJS提供的CSRF方案。
CSRF防范对策
2、CSRF的主要防范对策
1、验证 HTTP Referer 字段
HTTP头中的Referer字段记录了该 HTTP 请求的来源地址。在通常情况下，访问一个安全受限页面的请求来自于同一个网站，而如果黑客要对其实施 CSRF攻击，他一般只能在他自己的网站构造请求。因此，可以通过验证Referer值来防御CSRF 攻击。
CSRF防范对策
2、CSRF的主要防范对策
2、在请求地址中添加token并验证
CSRF 攻
2022-06-19 12:01:32
615KB
CSRF防范辅助性对策
CSRF防范辅助性对策
1、CSRF主要防范对策
CSRF的主要防范对策有以下几点：
1、验证 HTTP Referer 字段。
2、在请求地址中添加token并验证。
3、在HTTP 头中自定义属性并验证。
4、AngularJS提供的CSRF方案.
2、CSRF的常见防范辅助性对策
1、增加验证码。
2、cookies设置sameSite。
3、客户端安装浏览器插件。
4、更换登录态方案。
CSRF防范辅助性对策
2、CSRF的主要防范对策
1、增加验证码
CSRF的一个特点是：伪造请求不经过网站A。那么我们可以通过增加网站A的验证手段，例如增加图形验证码或短信验证码等等，只有通过验证的请求才算合法。但是这种方案拥有两个局限性，一个是增加开发成本，另外一个是降低用户体验。
CSRF防范辅助性对策
2、CSRF的主要防范对策
2、cookies设置sameSite
对于CSRF的第二个特点：伪造请求的域名不是网站A。那么通过限制cookies不被其他域名网站使用,来达到防御的目的，具体的做法是：cookies设置sameSite属性的值为strict，这样只有
2022-06-19 12:00:55
754KB
使用Perl的对策进行HTML转义的方法
一、实验目的
了解XSS的有关知识；
了解XSS防御的有关知识；
了解Perl语言的有关知识；
掌握使用Perl语言对HTML转义，实现XSS防御。
二、实验内容
安装Perl语言环境；
搭建Apache http服务器；
在Apache上搭建CGI；
使用Perl的对策进行HTML转义。
三、实验内容与步骤
安装Perl语言环境：
1.1、首先点击strawberry-perl--64bit.msi文件开始安装。
1.2、然后点击接受协议，然后点击Next，继续安装。
1.3、然后选择合适的安装路径，点击Next继续安装。
1.4、点击Install正式开始安装。
1.5、等待安装完成。
1.6、点击finish完成安装！
2、搭建apache httpd服务器：
2.1、将httpd-2.4.51-o111l-x64-vc15.zip压缩包解压到文件夹下，并将文件夹改名为Apache。
2.2、打开httpd.conf文件（在E:\Apache\Apache\conf下，这是我的，放置的位置不同，则文件位置不同）。修改目录位置，如下图所示。
2022-06-19 12:00:31
1012KB
XSS对策的基础
1
输入过滤
目录
2
输出转义
输入过滤
常见的Web漏洞如XSS、SQL Injection等，都要求攻击者构造一些特殊字符，这些特殊字符可能是正常用户不会用到的，所以输入检查就有存在的必要了。
输入检查，在很多时候也被用于格式检查。
例如，用户在网站注册时填写的用户名，会被要求只能为字母、数字的组合。比如 ”hello1234“ 是一个合法的用户名，而”hello#$^"就是一个非法的用户名。这些格式检查，有点像白名单，也可以让一些基于特殊字符的攻击失效。
1.输入检查
输入过滤
输入检查的逻辑，必须放在服务器端代码中实现。
如果只是在客户端使用JavaScript进行输入检查，是很容易被攻击者绕过的。
目前Web开发的普遍做法，是同时在客户端JavaScript中和服务器代码中实现相同的输入检查。
客户端JavaScript的输入检查，可以阻挡大部分误操作的正常用户，从而节约服务器资源。
1.输入检查
输入过滤
前端渲染的过程：浏览器先加载一个静态 HTML，此 HTML 中不包含任何跟业务相关的数据然后浏览器执行 HTML 中的 JavaScriptJa
2022-06-17 22:00:10
307KB
抓包的对策
1
抓包工具
目录
2
抓包途径分析
抓包工具
抓包时应该根据情景的不同，站点的不同，选择最合适的抓包工具。
Fiddler
Charles
Wireshark
Burpsuite
抓包工具
Fiddler 工具非常经典且强大，这点大家应该都所体会。
它可以提供电脑端、移动端的抓包、包括 http 协议和 https 协议都可以捕获到报文并进行分析；
可以设置断点调试、截取报文进行请求替换和数据篡改，也可以进行请求构造，还可以设置网络丢包和延迟进行 APP 弱网测试等。
1、Fiddler
抓包工具
fiddler 的第一个优点，就是功能强大并齐全；
第二个优点就是 Fiddler 是开源免费的，所有的电脑只要安装就可以直接使用所有的功能！这无疑也是一个非常大的优势，为它也拉拢了大量的用户！
当然，它也有自己的缺点：只能在 windows 下安装使用。如果要在其他系统上抓包，比如 MacOS 系统，Linux 系统，那么 Fiddler 就无用武之地了。
1、Fiddler
抓包工具
Charles 工具别名“花瓶”，它是通过代理来实现的抓包，也就是我们在访问网页时配置代理
2022-06-17 22:00:08
344KB
XSS的辅助性对策
1
HttpOnly
2
CSP
3
其他辅助对策
目录
HttpOnly
HttpOnly最早是由微软提出，并在IE 6中实现的，至今已成为一个标准。浏览器将禁止页面的JavaScript访问带有HttpOnly属性的Cookie。也就是说HttpOnly是为了对抗XSS后的Cookie劫持。
HttpOnly是在Set-Cookie时被标记的。服务器可能会设置多个Cookie，而HttpOnly可以有选择性地加在任何一个Cookie值上。在某些时候，应用可能需要JavaScript访问某几项Cookie，这种Cookie可以不设置HttpOnly标记；而仅把HttpOnly标记给用于认证的关键Cookie。
HttpOnly
CSP
内容安全策略( CSP )：
内容安全策略是一个额外的安全层，用于检测并削弱某些特定类型的攻击，包括跨站脚本 (XSS) 和数据注入攻击等。无论是数据盗取、网站内容污染还是散发恶意软件，这些攻击都是主要的手段。
CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览
2022-06-17 18:00:07
350KB