《Web安全程序设计与实践》课件项目10.pptxVIP

项目10XSS跨站攻击

【项目描述】本项目对XSS跨站攻击和防护进行实训。本项目包含五个任务。在第一个任务，分别创建数据库的messages表和sessions表。在第二个任务，创建一个接收SessionID功能的网站，用于接收XSS攻击获取的SessionID。在第三个任务，创建一个持久型XSS跨站攻击漏洞的网站，实现游客可以向管理员留言，管理员登录后可以查看留言等功能。第四个任务对持久型XSS攻击进行测试并分析攻击原理。最后一个任务通过设置Cookie的HttpOnly属性、HTML转义和JavsScript转义实现对XSS跨站攻击的防护通过本项目，可以理解XSS跨站攻击产生的原理和危害，能够应用HttpOnly属性、HTML转义和JavaScript转义防护XSS攻击。

【知识储备】XSS跨站攻击的原理XSS表示CrossSiteScripting(跨站脚本攻击)，为不和层叠样式表(CascadingStyleSheets,CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。XSS跨站攻击漏洞的原理是：由于大多数网站都提供了用户提交信息的功能（比如：发帖、评论、给管理员留言等），并通过网页浏览。因此，攻击者可以通过提交恶意HTML代码或者JavaScript代码，使得当这些信息被浏览时，嵌入其中的恶意代码便会被执行，从而实现攻击者的特殊目的。XSS跨站攻击漏洞的本质