¿Cómo defenderse de las vulnerabilidades xss?

1. Defensa basada en características. Las vulnerabilidades XSS, al igual que las famosas vulnerabilidades de inyección SQL, explotan la escritura imperfecta de las páginas web, por lo que las debilidades explotadas y atacadas por cada vulnerabilidad son diferentes. Esta es la dificultad que trae a la defensa de las vulnerabilidades XSS la imposibilidad de utilizar una sola. característica para resumir todos los ataques XSS.

La defensa XSS tradicional a menudo utiliza la coincidencia de características al identificar ataques, principalmente buscando la palabra clave JavaScript. Sin embargo, esta identificación no es lo suficientemente flexible. Siempre que la información enviada contenga JavaScript, se determinará rígidamente. Ataque XSS.

2. Defensa basada en modificación de código. Los desarrolladores de páginas web a menudo cometen algunos errores o lagunas al escribir programas. Los ataques XSS aprovechan los errores y las lagunas, por lo que un método ideal es reducir las lagunas y evitar ataques optimizando el desarrollo de aplicaciones web:

①. La información enviada por el usuario al servidor debe consultarse en la URL y los encabezados HTTP, los datos POST, etc. que los acompañan, y el contenido que no esté en el formato y la longitud prescritos debe filtrarse.

② Implemente la etiqueta de sesión, el sistema CAPTCHA o la verificación del encabezado de referencia HTTP para evitar que sitios web de terceros ejecuten funciones.

③ Confirme que el contenido recibido esté correctamente estandarizado, contenga solo etiquetas mínimas y seguras, elimine cualquier referencia a contenido remoto y utilice cookies HTTP únicamente.

3. Estrategia de defensa por capas del cliente. La estrategia de defensa en capas para ataques de secuencias de comandos entre sitios del lado del cliente es un modelo de seguridad basado en la asignación independiente de subprocesos y estrategias de defensa en capas. Está construido del lado del cliente, que es su mayor diferencia con respecto a otros modelos. La razón por la que la seguridad del cliente es tan importante es que el cliente recibe información del servidor y ejecuta selectivamente contenido relacionado. Esto facilita la defensa contra ataques XSS. El modelo consta principalmente de tres partes:

① Un módulo de análisis de subprocesos de página web que asigna subprocesos independientes a cada página web y analiza el consumo de recursos

<. p>② Módulo de análisis de entrada del usuario que contiene cuatro reglas de estrategia de defensa en capas;

③ Base de datos de información XSS que guarda información sobre sitios web maliciosos XSS en Internet.