安全
May 31, 2024Less than 1 minute
Cookie 挟持怎么防卫
浅谈Session与Cookie的关系 - MrSu - 博客园
- 使用 https
- httpOnly 属性 和 Secure 属性
- 设置短的 Cookie 生命周期，并定期轮换 Cookie 值，即使 Cookie 被盗，攻击者能利用的时间也很短。
- 在 cookie 中加入校验信息
XSS 跨站脚本攻击 (Cross-site scripting)
攻击者在 web 页面恶意插入 HTML 或 script 标签，当用户浏览该页面时，恶意代码就会被执行，从而达到攻击的目的。XSS 利用的是用户对指定网站的信任。
- 标签过滤，如
<script>、<img>、<a>标签等 - 编码，对字符
<、>、&、"、'、+、/等进行转义。 cookie防盗，将cookie设置为http-only,js脚本将无法读取到cookie信息。- 纯前端渲染，明确
innerText、setAttribute、style，将代码与数据分隔开。 - 避免不可信的数据拼接到字符串中传递给这些
API，如DOM中的内联事件监听器，location、onclick、onload、onmouseover等，<a>标签的href属性，JavaScript的eval()、setTimeout()、setInterval()等，都能把字符串作为代码运行。