一、什么是XSS?
XSS: Cross Site Script ，跨站脚本攻击。恶意攻击者在页面中注入恶意Script代码，在用户浏览时，恶意代码会被执行，从而达到攻击的目的。
恶意者通常会通过Web应用提交的内容提交Script代码，导致浏览器将用户输入的内容当成了代码执行。
二、XSS 攻击类型
1）持久性XSS
将恶意代码保存在数据库中，谁加载到该数据谁则被攻击，常见博客、论坛中。而且是长期的威胁。
1）网站留言板功能，有浏览内容、联系方式等输入框
2）我们期望用户在输入框中输入正常数据，恶意攻击者输入script代码，在动态网站渲染数据时，将代码渲染出执行
3）窃取cookie
黑客--插入js脚本--> 服务器实例化到数据库《--管理员查看信息，执行恶意代码
思考： 如果将恶意脚本放入到服务器中。
（1）通过ajax
（2）img加载外部数据源，但是数据源的地址是向黑客的地址发送相关的信息，如向黑客的地址发送cookie的信息
2）反射性XSS
非持久性XSS，恶意代码没有保存到目标网站，而是通过印个引诱用户点击一个恶意链接
参数--》Controller --> 回显
2）DOM性XSS
不存储，不交互
三、植入js代码攻击及危害分析
外在表现：
1.直接注入JaveScript代码
2.引用外部js文件
基本实现原理：
1.通过img标签的src发送数据
2.构造表单诱导用户输入账号密码
3.流量劫持，恶意跳转
四、预防策略
1、输入环节
限制输入框的长度、限制特殊字符限制，后端代码限制输入长度、处理特殊字符。Filter过滤器统一处理（自定义处理规则、使用Apache commom text、owasp AntiSamy）
流量网关（进行安全校验）--》业务网关，把校验放在流量网关进行校验
2.Cookie防护
cookie设置httponly，一般servlet容器默认httpOnlytrue
3、X-Frame-Options 响应头
4、输出环节
显示时对字符进行转义处理，OWASP ESAPI Java 显示时对字符转义处理，各种模板都有相关语法，通常情况下前段框架或者模板引擎都有转义的功能，默认开启
5、DOM型XSS
避免innerHTML、outerHtml、document.write()
6、富文本处理
禁止危险标签，如<iframe><form><script>
7、内容安全策略（CSP）
CSP之指定有效域
分类：
（1）Content-Security-Policy: 配置好后，不符合CSP的外部资源会被阻止加载
（2）Content-Security-Policy-Report-Only:表示不执行限制选项，知识记录违反记录的行为。配合report-uri使用
如何使用？
（1）在HTTP Header 上使用，在网关的filter中配置或者nginx中配置
（2）在HTML上使用
使用案例：
1）限制所有的外部资源，只能从当前域名加载，不包含子域名:
Content-security-Policy: defuault-src 'self'
2） 限制所有的外部资源，只能从当前域名及其子域名加载
Content-security-Policy:default-src *.xxxx.com 使用*通配符
3） 仅允许从指定域名加载
Content-security-Pilicy:default-src 'self';img-src *;media-src xxx.com yyy.com;script-src script.xxx.com
4) 仅允许通过HTTPS的方式从指定域名访问文档
Context-security-Policy:default-src https:xxxx.com
5) 发送违例报告
Content-Security-Policy:default-src 'self';report-uri http:xxxx.com/api
发送的json字符串如下：
{
”csp-report”: {
"document-uri": ''
"referece": ''
"blocked-uri":'',
"violated-directive": "style-src cdn,example.com",
"original-policy":""
}
}
文章浏览阅读1.5w次。AVFrame：（ This structure describes decoded (raw) audio or video data. AVFrame must be allocated using av_frame_alloc(). Note that this only allocates the AVFrame itself, the buffers for the data mus_天天av
文章浏览阅读3.5k次，点赞2次，收藏12次。解题思路分析：1.100元兑换10元纸币，可以兑换10张，但每种纸币都要有，所以最多只能兑换9张，最少兑换1张。则初始值为1；循环条件小于10或者小于等于9。2.100元兑换5元纸币，可以兑换20，但每种纸币都要有，所以最多只能兑换19张，最少兑换1张。初始值为1；循环条件小于20或者小于等于19。3.100元兑换1元纸币，可以兑换100张，但每种纸币都要有，所以最多只能兑换99张，最少兑换1张。则初始值为1；循环条件小于100或者小于等于99。_编程把100元换成1元5元10元
文章浏览阅读450次。1、允许用户最多尝试三次2、每尝试三次后，如果还没猜对，就问用户是否继续玩，如果回答Y，y，就继续猜三次，以此往复，如果回答N，n，就直接退出times=0count=3while times<=3:age=int(input(‘请输入年龄：’))if age == 18:print(‘猜对了’)breakelif age > 18:print(‘猜大了’)else:print(‘猜小了’)times+=1if times3:choose = input(‘继续猜Y_找人猜三次年龄
文章浏览阅读152次。这套题实在是太神仙了。。做了我好久。。。好多题都是去搜题解才会的 TAT。剩的那道题先咕着，如果省选没有退役就来填吧。「SDOI2017」龙与地下城题意丢 \(Y\) 次骰子，骰子有 \(X\) 面，每一面的概率均等，取值为 \([0, X)\) ，问最后取值在 \([a, b]\) 之间的概率。一个浮点数，绝对误差不超过 \(0.013579\) 为正确。数据范围每组数据有 \...
文章浏览阅读1.1k次，点赞36次，收藏25次。阅读引言： 本文将会从环境sqlite3的安装、数据库的基础知识、sqlite3命令、以及sqlite的sql语句最后还有一个完整的代码实例， 相信仔细学习完这篇内容之后大家一定能有所收获。
文章浏览阅读51次。UnicodeString templateSavePath = ChangeFileExt(ExtractFilePath(Application->ExeName),"tmp.doc");IdAntiFreeze1->OnlyWhenIdle = false;//设置使程序有反应.TMemoryStream *templateStream ;templateStre..._c++webserver下载文件
文章浏览阅读8.3k次，点赞10次，收藏41次。一、第一天1、创建战舰、侦察潜艇、鱼雷潜艇、水雷潜艇、水雷、深水炸弹类完整代码：package day01;//战舰public class Battleship { int width; int height; int x; int y; int speed; int life; void move(){ System.out.println("战舰移动"); }}package day01;//侦察潜艇_java潜艇大战
文章浏览阅读940次。表单校验的基本步骤_表单校验
文章浏览阅读4.5k次。libOpenBlas.dll缺失依赖解决办法 intellij idea 1.dll文件缺失依赖，报错：“找不到指定模块”2.下载depends查看dll缺失文件3.下载缺失依赖libopenblas.dll出错起因由于java web项目需要调用openBlas库来进行运算，就下载了预编译的libopenblas文件进行调用，首先遇到路径出错问题、之后又是dll文件缺失依赖问题，以下是解决..._libopenblas.dll
文章浏览阅读251次，点赞3次，收藏10次。这里实现的心跳检测机制是一个基础版的，心跳包的主要作用是用于检测用户端是否存活，有助于我们及时判断用户端是否存在断线的问题。在我之前开发过的项目中，有一个基于物联网在线直播抓娃娃的项目，其中就有需要实时监控设备在线状态的需求，该需求就是使用心跳包来实现的。实际上心跳检测技术，应用更广泛的是实时通信、或设备管理的场景偏多。
文章浏览阅读714次。Dependency scope is used to limit the transitivity of a dependency, and also to affect the classpath used for various build tasks.There are 6 scopes available:compileThis is the default scop_maven dependent scope
文章浏览阅读3.6k次。TCP 头部结构信息_tcp头部包含哪些信息