XSS和CSRF原理及防范方法

XSS 跨站脚本攻击

浏览器向服务器请求的时候被注入脚本攻击

类型	恶意代码有效的位置	插入点
反射型	URL	HTML
存储型	服务端数据库	HTML
基于DOM	服务端数据库/客户端存储/URL	前端javascript

1. 反射型XSS（非持久性跨站脚本攻击）

   攻击方法：

   1. 攻击者把带有恶意脚本代码参数的URL地址发送给用户

         2. 用户点击此链接3. 服务器端获取请求参数并直接使用，服务器返回结果页面
      

2. 存储型XSS（持久性跨站脚本攻击）

   具有攻击性的脚本被保存到了服务器端数据库，并且可以被普通用户完整的从服务中取得并执行，从而获得了在网络上传播的能力。

3. DOM型

   这种攻击类型不需要服务器端支持，是由于DOM结构修改导致的。

   攻击方法：

   1. 用户打开有恶意的链接
   2. 浏览器在DOM解析的时候直接使用恶意数据
   3. 用户中招
   4. 常见的触发场景就是在修改innerHTML、outerHTML、document.write时

防范手段

1. 输入过滤
2. 输出过滤
3. 加httponly 请求头，锁死cookie

CSRF跨站请求伪造

攻击方法：黑客通过小网站B，诱使用户去访问已经登录了的网站A，进行一些违背用户意愿的请求，造成用户损失

防范手段

1. 服务器验证 http请求的refer头信息
2. 请求的时候 传token
3. 加验证码