高频的HVV面试题梳理 (1)信息安全资料.pdfVIP

高频的HVV面试题梳理

XSS、CSRF、XXE的原理

XSS它是跨站脚本攻击，用户提交的数据中可以构造代码来执行，从而实现窃取用户信息

等攻击。

XSS修复方式：对字符实体进行转义、使用HTTPOnly来禁止JavaScript读取Cookie值、

输入时校验、浏览器与Web应用端采用相同的字符编码。

CSRF它是跨站请求伪造攻击，XSS是实现CSRF的诸多手段中的一种，它是由于没有在关

键操作执行时进行是否由用户自愿发起的确认。

CSRF修复方式：筛选出需要防范CSRF的页面然后嵌入Token、再次输入密码、检验

Referer。

XXE是XML外部实体注入攻击，XML中可以通过调用实体来请求本地或者远程内容，和远

程文件保护类似，会引发相关安全问题，例如敏感文件读取。

XXE修复方式：XML解析库在调用时严格禁止对外部实体的解析。

CSRF、SSRF和重放攻击的区别

CSRF：它是跨站请求伪造攻击，由客户端发起

SSRF：它是服务器端请求伪造，由服务器发起

重放攻击：它是将截获的数据包进行重放，达到身份认证等目的

IPS和IDS的区别

IPS系统是电脑网络安全设施，它是对防病毒软件和防