XSS(脚本攻击)和CSRF(请求伪造攻击)

XSS(跨站脚本攻击)

xss是指黑客通过向正常用户请求的HTML页面中插入恶意的脚本。XSS主要用于信息窃取、破坏等目的。
技术原理:
后端Java开发人员、前端开发人员都有可能造成XSS漏洞,比如下面的模板文件就可能导致反射型XSS。

<div>
<h3>反射型XSS示例</h3>
<br>用户:<%= request.getParameter("userName") %>
<br>系统错误信息:<%= request.getParameter("errorMessage") %>
<diV>

/**
上面的代码从Http请求中取了userName和errorMessage两个参数,并直接输入到HTTP中用于页面展示,当黑
客构造如下的URL时就出现了反射型XSS,用户浏览器就可以执行和的JavaScript脚本。
HTTP:XSS.demo/self-xss.jsp?userName=张三&errorMessage=
XSS示例
                    
                    

你可能感兴趣的:(码出高效,安全)