A. 如何正確防禦xss攻擊
防禦xss攻擊需要重點掌握以下原則：
在將不可信數據插入到HTML標簽之間時，對這些數據進行HTMLEntity編碼。
在將不可信數據插入到HTML屬性里時，對這些數據進行HTML屬性編碼。
在將不可信數據插入到SCRIPT里時，對這些數據進行SCRIPT編碼。
在將不可信數據插入到Style屬性里時，對這些數據進行CSS編碼。
在將不可信數據插入到HTMLURL里時，對這些數據進行URL編碼。
使用富文本時，使用XSS規則引擎進行編碼過濾
B. 如何正確防禦xss攻擊
傳統防禦技術
2.1.1基於特徵的防禦
傳統XSS防禦多採用特徵匹配方式，在所有提交的信息中都進行匹配檢查。對於這種類型的XSS攻擊，採用的模式匹配方法一般會需要對「javascript」這個關鍵字進行檢索，一旦發現提交信息中包含「javascript」，就認定為XSS攻擊。
2.1.2 基於代碼修改的防禦
和sql注入防禦一樣，XSS攻擊也是利用了Web頁面的編寫疏忽，所以還有一種方法就是從Web應用開發的角度來避免：
1、對所有用戶提交內容進行可靠的輸入驗證，包括對URL、查詢關鍵字、HTTP頭、POST數據等，僅接受指定長度范圍內、採用適當格式、採用所預期的字元的內容提交，對其他的一律過濾。
2、實現Session標記(session tokens)、CAPTCHA系統或者HTTP引用頭檢查，以防功能被第三方網站所執行。
3、確認接收的的內容被妥善的規范化，僅包含最小的、安全的Tag(沒有javascript)，去掉任何對遠程內容的引用(尤其是樣式表和javascript)，使用HTTP only的cookie。
當然，如上方法將會降低Web業務系統的可用性，用戶僅能輸入少量的制定字元，人與系統間的交互被降到極致，僅適用於信息發布型站點。
並且考慮到很少有Web編碼人員受過正規的安全培訓，很難做到完全避免頁面中的XSS漏洞。
(2)web服務端xss攻擊防範擴展閱讀：
XSS攻擊的危害包括
1、盜取各類用戶帳號，如機器登錄帳號、用戶網銀帳號、各類管理員帳號
2、控制企業數據，包括讀取、篡改、添加、刪除企業敏感數據的能力
3、盜竊企業重要的具有商業價值的資料
4、非法轉賬
5、強制發送電子郵件
6、網站掛馬
7、控制受害者機器向其它網站發起攻擊
受攻擊事件
新浪微博XSS受攻擊事件
2011年6月28日晚，新浪微博出現了一次比較大的XSS攻擊事件。
大量用戶自動發送諸如：
「郭美美事件的一些未注意到的細節」，「建黨大業中穿幫地方」，「讓女人心動的100句詩歌」，「這是傳說中的神仙眷侶啊」等等微博和私信，並自動關注一位名為hellosamy的用戶。
事件的經過線索如下：
20:14，開始有大量帶V的認證用戶中招轉發蠕蟲
20:30，某網站中的病毒頁面無法訪問
20:32，新浪微博中hellosamy用戶無法訪問
21:02，新浪漏洞修補完畢
網路貼吧xss攻擊事件
2014年3月9晚，六安吧等幾十個貼吧出現點擊推廣貼會自動轉發等。並且吧友所關注的每個關注的貼吧都會轉一遍，病毒循環發帖。並且導致吧務人員，和吧友被封禁。
C. XSS攻擊的定義，類型以及防禦方法
XXS攻擊全稱跨站腳本攻擊，是一種在Web應用中的計算機安全漏洞，它允許惡意Web用戶將代碼植入到提供給其他使用的頁面中。
XSS攻擊有哪幾種類型?下面就由銳速雲的小編為大家介紹一下
經常見到XSS攻擊有三種：反射XSS攻擊、DOM-based型XSS攻擊以及儲存型XSS攻擊。
[if !supportLists]1、[endif]反射型XSS攻擊
反射性XSS一般是攻擊者通過特定手法(如電子郵件)，誘使用戶去訪問一個包含惡意代碼的URL，當受害者點擊這些專門設計鏈接的時候，惡意代碼會直接在受害主機上的瀏覽器上執行，反射型XSS通常出現在網站搜索欄，用戶登入口等地方，常用來竊取客戶端或進行釣魚欺騙。
[if !supportLists]2、[endif]存儲型XSS攻擊
存儲型XSS攻擊也叫持久型XSS，主要將XSS代碼提交儲存在伺服器端(資料庫，內存，文件系統等)下次請求目標頁面時不用在提交XSS代碼。當目標用戶訪問該頁面獲取數據時，XSS代碼會從伺服器解析之後載入出來，返回到瀏覽器做正常的HTML和JS解析執行，XSS攻擊就發生了。儲存型XSS一般出現在網站留言，評論，博客日誌等交互處，惡意腳本儲存到客戶端或者服務端的資料庫中。
[if !supportLists]3、[endif]DOM-based型XSS攻擊
DOM-based型XSS攻擊它是基於DOM的XSS攻擊是指通過惡意腳本修改頁面的DOM結構，是純粹發生在客戶端的攻擊。DOM型XSS攻擊中，取出和執行惡意代碼由瀏覽器端完成，屬於前端JavaScript自身的安全漏洞。
如何防禦XSS攻擊?
[if !supportLists]1、[endif]對輸入內容的特定字元進行編碼，列如表示html標記<>等符號。
[if !supportLists]2、[endif]對重要的cookie設置httpOnly，防止客戶端通過document。cookie讀取cookie，此HTTP開頭由服務端設置。
[if !supportLists]3、[endif]將不可信的輸出URT參數之前，進行URLEncode操作，而對於從URL參數中獲取值一定要進行格式檢查
[if !supportLists]4、[endif]不要使用Eval來解析並運行不確定的數據或代碼，對於JSON解析請使用JSON。Parse()方法
[if !supportLists]5、[endif]後端介面也應該要做到關鍵字元過濾的問題。
D. 如何防止xss攻擊，需要過濾什麼
XSS攻擊通常是指黑客通過"HTML注入"篡改了網頁，插入了惡意的腳本，從而在用戶瀏覽網頁時，控制用戶瀏覽器的一種攻擊。
一、HttpOnly防止劫取Cookie
HttpOnly最早由微軟提出，至今已經成為一個標准。瀏覽器將禁止頁面的Javascript訪問帶有HttpOnly屬性的Cookie。目前主流瀏覽器都支持，HttpOnly解決是XSS後的Cookie支持攻擊。
我們來看下網路有沒有使用。
未登錄時的Cookie信息
可以看到，所有Cookie都沒有設置HttpOnly，現在我登錄下
發現在個叫BDUSS的Cookie設置了HttpOnly。可以猜測此Cookie用於認證。
下面我用PHP來實現下：
<?php
header("Set-Cookie: cookie1=test1;");
header("Set-Cookie: cookie2=test2;httponly",false);
setcookie('cookie3','test3',NULL,NULL,NULL,NULL,false);
setcookie('cookie4','test4',NULL,NULL,NULL,NULL,true);
?>
<script>
alert(document.cookie);
</script>
js只能讀到沒有HttpOnly標識的Cookie
二、輸入檢查
輸入檢查一般是檢查用戶輸入的數據中是否包含一些特殊字元，如<、>、'、"等，如果發現存在特殊字元，則將這些字元過濾或者編碼。
例如網站注冊經常用戶名只允許字母和數字的組合，或者郵箱電話，我們會在前端用js進行檢查，但在伺服器端代碼必須再次檢查一次，因為客戶端的檢查很容易繞過。
網上有許多開源的「XSS Filter」的實現，但是它們應該選擇性的使用，因為它們對特殊字元的過濾可能並非數據的本意。比如一款php的lib_filter類：
$filter = new lib_filter();
echo $filter->go('1+1>1');
它輸出的是1，這大大歪曲了數據的語義，因此什麼情況應該對哪些字元進行過濾應該適情況而定。
三、輸出檢查
大多人都知道輸入需要做檢查，但卻忽略了輸出檢查。
1、在HTML標簽中輸出
如代碼：
<?php
$a = "<script>alert(1);</script>";
$b = "<img src=# onerror=alert(2) />";
?>
<div><?=$b?></div>
<a href="#"><?=$a?></a>
這樣客戶端受到xss攻擊，解決方法就是對變數使用htmlEncode,php中的函數是htmlentities
<?php
$a = "<script>alert(1);</script>";
$b = "<img src=# onerror=alert(2) />";
?>
<div><?=htmlentities($b)?></div>
<a href="#"><?=htmlentities($a)?></a>
2、在HTML屬性中輸出
<div id="div" name ="$var"></div>
這種情況防禦也是使用htmlEncode
在owasp-php中實現：
$immune_htmlattr = array(',', '.', '-', '_');
$this->htmlEntityCodec->encode($this->immune_htmlattr, "\"><script>123123;</script><\"");
3、在<script>標簽中輸出
如代碼：
<?php
$c = "1;alert(3)";
?>
<script type="text/javascript">
var c = <?=$c?>;
</script>
這樣xss又生效了。首先js變數輸出一定要在引號內，但是如果我$c = "\"abc;alert(123);//"，你會發現放引號中都沒用，自帶的函數都不能很好的滿足。這時只能使用一個更加嚴格的JavascriptEncode函數來保證安全——除數字、字母外的所有字元，都使用十六進制"\xHH"的方式進行編碼。這里我採用開源的owasp-php方法來實現
$immune = array("");
echo $this->javascriptCodec->encode($immune, "\"abc;alert(123);//");
最後輸出\x22abc\x3Balert\x28123\x29\x3B\x2F\x2F
4、在事件中輸出
<a href="#" onclick="funcA('$var')" >test</a>
可能攻擊方法
<a href="#" onclick="funcA('');alter(/xss/;//')">test</a>
這個其實就是寫在<script>中，所以跟3防禦相同
5、在css中輸出
在owasp-php中實現：
$immune = array("");
$this->cssCodec->encode($immune, 'background:expression(window.x?0:(alert(/XSS/),window.x=1));');
6、在地址中輸出
先確保變數是否是"http"開頭，然後再使用js的encodeURI或encodeURIComponent方法。
在owasp-php中實現：
$instance = ESAPI::getEncoder();
$instance->encodeForURL(『url』);
四、處理富文體
就像我寫這篇博客，我幾乎可以隨意輸入任意字元，插入圖片，插入代碼，還可以設置樣式。這個時要做的就是設置好白名單，嚴格控制標簽。能自定義 css件麻煩事，因此最好使用成熟的開源框架來檢查。php可以使用htmlpurify
五、防禦DOM Based XSS
DOM Based XSS是從javascript中輸出數據到HTML頁面里。
<script>
var x = "$var";
document.write("<a href='"+x+"'>test</a>");
</script>
按照三中輸出檢查用到的防禦方法，在x賦值時進行編碼，但是當document.write輸出數據到HTML時，瀏覽器重新渲染了頁面，會將x進行解碼，因此這么一來，相當於沒有編碼，而產生xss。
防禦方法：首先，還是應該做輸出防禦編碼的，但後面如果是輸出到事件或腳本，則要再做一次javascriptEncode編碼，如果是輸出到HTML內容或屬性，則要做一次HTMLEncode。
會觸發DOM Based XSS的地方有很多：
document.write()、document.writeln()、xxx.innerHTML=、xxx.outerHTML=、innerHTML.replace、document.attachEvent()、window.attachEvent()、document.location.replace()、document.location.assign()
E. web攻擊有哪些怎麼防護
1、DoS和DDoS攻擊（DoS(Denial of Service)，即拒絕服務，造成遠程伺服器拒絕服務的行為被稱為DoS攻擊。其目的是使計算機或網路無法提供正常的服務。最常見的DoS攻擊有計算機網路帶寬攻擊和連通性攻擊）
防範：(1) 反欺騙：對數據包的地址及埠的正確性進行驗證，同時進行反向探測。(2) 協議棧行為模式分析：每個數據包類型需要符合RFC規定，這就好像每個數據包都要有完整規范的著裝，只要不符合規范，就自動識別並將其過濾掉。(3) 特定應用防護：非法流量總是有一些特定特徵的，這就好比即便你混進了顧客群中，但你的行為還是會暴露出你的動機，比如老重復問店員同一個問題，老做同樣的動作，這樣你仍然還是會被發現的。(4) 帶寬控制：真實的訪問數據過大時，可以限制其最大輸出的流量，以減少下游網路系統的壓力。
2、CSRF(Cross Site Request Forgery)，即跨站請求偽造，是一種常見的Web攻擊，但很多開發者對它很陌生。CSRF也是Web安全中最容易被忽略的一種攻擊。
防範：(1) 驗證碼。應用程序和用戶進行交互過程中，特別是賬戶交易這種核心步驟，強制用戶輸入驗證碼，才能完成最終請求。在通常情況下，驗證碼夠很好地遏制CSRF攻擊。但增加驗證碼降低了用戶的體驗，網站不能給所有的操作都加上驗證碼。所以只能將驗證碼作為一種輔助手段，在關鍵業務點設置驗證碼。(2) Referer Check。HTTP Referer是header的一部分，當瀏覽器向web伺服器發送請求時，一般會帶上Referer信息告訴伺服器是從哪個頁面鏈接過來的，伺服器籍此可以獲得一些信息用於處理。可以通過檢查請求的來源來防禦CSRF攻擊。正常請求的referer具有一定規律，如在提交表單的referer必定是在該頁面發起的請求。所以通過檢查http包頭referer的值是不是這個頁面，來判斷是不是CSRF攻擊。但在某些情況下如從https跳轉到http，瀏覽器處於安全考慮，不會發送referer，伺服器就無法進行check了。若與該網站同域的其他網站有XSS漏洞，那麼攻擊者可以在其他網站注入惡意腳本，受害者進入了此類同域的網址，也會遭受攻擊。出於以上原因，無法完全依賴Referer Check作為防禦CSRF的主要手段。但是可以通過Referer Check來監控CSRF攻擊的發生。(3) Anti CSRF Token。目前比較完善的解決方案是加入Anti-CSRF-Token，即發送請求時在HTTP 請求中以參數的形式加入一個隨機產生的token，並在伺服器建立一個攔截器來驗證這個token。伺服器讀取瀏覽器當前域cookie中這個token值，會進行校驗該請求當中的token和cookie當中的token值是否都存在且相等，才認為這是合法的請求。否則認為這次請求是違法的，拒絕該次服務。這種方法相比Referer檢查要安全很多，token可以在用戶登陸後產生並放於session或cookie中，然後在每次請求時伺服器把token從session或cookie中拿出，與本次請求中的token 進行比對。由於token的存在，攻擊者無法再構造出一個完整的URL實施CSRF攻擊。但在處理多個頁面共存問題時，當某個頁面消耗掉token後，其他頁面的表單保存的還是被消耗掉的那個token，其他頁面的表單提交時會出現token錯誤。
3、XSS(Cross Site Scripting)，跨站腳本攻擊。為和層疊樣式表(Cascading Style Sheets，CSS)區分開，跨站腳本在安全領域叫做「XSS」。
防範：(1) 輸入過濾。永遠不要相信用戶的輸入，對用戶輸入的數據做一定的過濾。如輸入的數據是否符合預期的格式，比如日期格式，Email格式，電話號碼格式等等。這樣可以初步對XSS漏洞進行防禦。上面的措施只在web端做了限制，攻擊者通抓包工具如Fiddler還是可以繞過前端輸入的限制，修改請求注入攻擊腳本。因此，後台伺服器需要在接收到用戶輸入的數據後，對特殊危險字元進行過濾或者轉義處理，然後再存儲到資料庫中。(2) 輸出編碼。伺服器端輸出到瀏覽器的數據，可以使用系統的安全函數來進行編碼或轉義來防範XSS攻擊。在PHP中，有htmlentities()和htmlspecialchars()兩個函數可以滿足安全要求。相應的JavaScript的編碼方式可以使用JavascriptEncode。(3) 安全編碼。開發需盡量避免Web客戶端文檔重寫、重定向或其他敏感操作，同時要避免使用客戶端數據，這些操作需盡量在伺服器端使用動態頁面來實現。(4) HttpOnly Cookie。預防XSS攻擊竊取用戶cookie最有效的防禦手段。Web應用程序在設置cookie時，將其屬性設為HttpOnly，就可以避免該網頁的cookie被客戶端惡意JavaScript竊取，保護用戶cookie信息。(5)WAF(Web Application Firewall)，Web應用防火牆，主要的功能是防範諸如網頁木馬、XSS以及CSRF等常見的Web漏洞攻擊。由第三方公司開發，在企業環境中深受歡迎。
4、SQL注入(SQL Injection)，應用程序在向後台資料庫傳遞SQL(Structured Query Language，結構化查詢語言)時，攻擊者將SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字元串，最終達到欺騙伺服器執行惡意的SQL命令。
防範：(1) 防止系統敏感信息泄露。設置php.ini選項display_errors=off，防止php腳本出錯之後，在web頁面輸出敏感信息錯誤，讓攻擊者有機可乘。(2) 數據轉義。設置php.ini選項magic_quotes_gpc=on，它會將提交的變數中所有的』(單引號)，」(雙引號)，\(反斜杠)，空白字元等都在前面自動加上\。或者採用mysql_real_escape()函數或addslashes()函數進行輸入參數的轉義。(3) 增加黑名單或者白名單驗證。白名單驗證一般指，檢查用戶輸入是否是符合預期的類型、長度、數值范圍或者其他格式標准。黑名單驗證是指，若在用戶輸入中，包含明顯的惡意內容則拒絕該條用戶請求。在使用白名單驗證時，一般會配合黑名單驗證。
5、上傳漏洞在DVBBS6.0時代被黑客們利用的最為猖獗，利用上傳漏洞可以直接得到WEBSHELL，危害等級超級高，現在的入侵中上傳漏洞也是常見的漏洞。該漏洞允許用戶上傳任意文件可能會讓攻擊者注入危險內容或惡意代碼，並在伺服器上運行。
防範： (1)檢查伺服器是否判斷了上傳文件類型及後綴。 (2) 定義上傳文件類型白名單，即只允許白名單裡面類型的文件上傳。 (3) 文件上傳目錄禁止執行腳本解析，避免攻擊者進行二次攻擊。 Info漏洞 Info漏洞就是CGI把輸入的參數原樣輸出到頁面，攻擊者通過修改輸入參數而達到欺騙用戶的目的。
F. xss漏洞如何防禦
防禦方法
(1)基於特徵的防禦。XSS漏洞和著名的SQL注入漏洞一樣，都是利用了Web頁面的編寫不完善，所以每一個漏洞所利用和針對的弱點都不盡相同。這就給XSS漏洞防禦帶來了困難，不可能以單一特徵來概括所有XSS攻擊。
傳統的XSS防禦在進行攻擊鑒別時多採用特徵匹配方式，主要是針對「javascript」這個關鍵字進行檢索，但是這種鑒別不夠靈活，凡是提交的信息中各有「javascript」時，就被硬性的被判定為XSS攻擊。
(2)基於代碼修改的防禦。Web頁面開發者在編寫程序時往往會出現一些失誤和漏洞，XSS攻擊正是利用了失誤和漏洞，因此一種比較理想的方法就是通過優化Web應用開發來減少漏洞，避免被攻擊：1)用戶向伺服器上提交的信息要對URL和附帶的的HTTP頭、POST數據等進行查詢，對不是規定格式、長度的內容進行過濾。2)實現Session標記（session tokens）、CAPTCHA系統或者HTTP引用頭檢查，以防功能被第三方網站所執行。3)確認接收的的內容被妥善的規范化，僅包含最小的、安全的Tag（沒有javascript），去掉任何對遠程內容的引用（尤其是樣式表和javascript），使用HTTP only的cookie。
當然，如上操作將會降低Web業務系統的可用性，用戶僅能輸入少量的制定字元，人與系統間的交互被降到極致，僅適用於信息發布型站點。並且考慮到很少有Web編碼人員受過正規的安全培訓，很難做到完全避免頁面中的XSS漏洞。
(3)客戶端分層防禦策略。客戶端跨站腳本攻擊的分層防禦策略是基於獨立分配線程和分層防禦策略的安全模型。它建立在客戶端(瀏覽器)，這是它與其他模型最大的區別，之所以客戶端安全性如此重要，客戶端在接受伺服器信息，選擇性的執行相關內容。這樣就可以使防禦XSS攻擊變得容易，該模型主要由三大部分組成：（1）對每一個網頁分配獨立線程且分析資源消耗的「網頁線程分析模塊」；
（2）包含分層防禦策略四個規則的用戶輸入分析模塊；
（3）保存互聯網上有關XSS惡意網站信息的XSS信息資料庫。
XSS攻擊主要是由程序漏洞造成的，要完全防止XSS安全漏洞主要依靠程序員較高的編程能力和安全意識，當然安全的軟體開發流程及其他一些編程安全原則也可以大大減少XSS安全漏洞的發生。這些防範XSS漏洞原則包括：
（1）不信任用戶提交的任何內容，對所有用戶提交內容進行可靠的輸入驗證，包括對URL、查詢關鍵字、HTTP頭、REFER、POST數據等，僅接受指定長度范圍內、採用適當格式、採用所預期的字元的內容提交，對其他的一律過濾。盡量採用POST而非GET提交表單；對「<」，「>」，「；」，「」」等字元做過濾；任何內容輸出到頁面之前都必須加以en-code，避免不小心把htmltag顯示出來。
（2）實現Session 標記（session tokens）、CAPTCHA（驗證碼）系統或者HTTP引用頭檢查，以防功能被第三方網站所執行，對於用戶提交信息的中的img等link，檢查是否有重定向回本站、不是真的圖片等可疑操作。
（3）cookie 防盜。避免直接在cookie中泄露用戶隱私，例如email、密碼，等等；通過使cookie和系統IP綁定來降低cookie泄露後的危險。這樣攻擊者得到的cookie沒有實際價值，很難拿來直接進行重放攻擊。
（4）確認接收的內容被妥善地規范化，僅包含最小的、安全的Tag（沒有JavaScript），去掉任何對遠程內容的引用（尤其是樣式表和JavaScript），使用HTTPonly的cookie。
G. 如何防止web攻擊
SQL注入攻擊(SQL Injection)
攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的字元串，欺騙伺服器執行惡意的SQL命令。在某些表單中，用戶輸入的內容直接用來構造（或者影響）動態SQL命令，或作為存儲過程的輸入參數，這類表單特別容易受到SQL注入式攻擊。
常見的SQL注入式攻擊過程類如：
1.某個Web應用有一個登錄頁面，這個登錄頁面控制著用戶是否有權訪問應用，它要求用戶輸入一個名稱和密碼；
2.登錄頁面中輸入的內容將直接用來構造動態的SQL命令，或者直接用作存儲過程的參數；
例如：
$query = 'SELECT * from Users WHERE login = ' . $username . ' AND password = ' . $password;
3.攻擊者在用戶名字和密碼輸入框中輸入'或'1'='1之類的內容；
4.用戶輸入的內容提交給伺服器之後，伺服器運行上面的代碼構造出查詢用戶的SQL命令，但由於攻擊者輸入的內容非常特殊，所以最後得到的SQL命令變成：
SELECT * from Users WHERE login = '' or '1'='1' AND password = '' or '1'='1'；
5.伺服器執行查詢或存儲過程，將用戶輸入的身份信息和伺服器中保存的身份信息進行對比；
6.由於SQL命令實際上已被注入式攻擊修改，已經不能真正驗證用戶身份，所以系統會錯誤地授權給攻擊者。
如果攻擊者知道應用會將表單中輸入的內容直接用於驗證身份的查詢，他就會嘗試輸入某些特殊的SQL字元串篡改查詢改變其原來的功能，欺騙系統授予訪問許可權。
系統環境不同，攻擊者可能造成的損害也不同，這主要由應用訪問資料庫的安全許可權決定。如果用戶的帳戶具有管理員或其他比較高級的許可權，攻擊者就可能對資料庫的表執行各種他想要做的操作，包括添加、刪除或更新數據，甚至可能直接刪除表
防範方法：
1.檢查變數數據類型和格式
2.過濾特殊符號
3.綁定變數，使用預編譯語句
跨網站腳本攻擊(Cross Site scripting, XSS)
攻擊者將惡意代碼注入到網頁上，其他用戶在載入網頁時就會執行代碼，攻擊者可能得到包括但不限於更高的許可權（如執行一些操作）、私密網頁內容、會話和cookie等各種內容。這些惡意代碼通常是javascript、HTML以及其他客戶端腳本語言。
例如：
<?php
echo "歡迎您，".$_GET['name'];
常用的攻擊手段有：
盜用cookie，獲取敏感信息；
利用iframe、frame、xmlHttpRequest或上述Flash等方式，以（被攻擊）用戶的身份執行一些管理動作，或執行一些一般的如發微博、加好友、發私信等操作；
利用可被攻擊的域受到其他域信任的特點，以受信任來源的身份請求一些平時不允許的操作，如進行不當的投票活動；
在訪問量極大的一些頁面上的XSS可以攻擊一些小型網站，實現DDoS攻擊的效果。
防範方法：使用htmlspecialchars函數將特殊字元轉換成HTML編碼，過濾輸出的變數
跨網站請求偽造攻擊(Cross Site Request Forgeries, CSRF)
攻擊者偽造目標用戶的HTTP請求，然後此請求發送到有CSRF漏洞的網站，網站執行此請求後，引發跨站請求偽造攻擊。攻擊者利用隱蔽的HTTP連接，讓目標用戶在不注意的情況下單擊這個鏈接，由於是用戶自己點擊的，而他又是合法用戶擁有合法許可權，所以目標用戶能夠在網站內執行特定的HTTP鏈接，從而達到攻擊者的目的。
它與XSS的攻擊方法不同，XSS利用漏洞影響站點內的用戶，攻擊目標是同一站點內的用戶者，而CSRF 通過偽裝成受害用戶發送惡意請求來影響Web系統中受害用戶的利益。
例如:
某個購物網站購買商品時，採用shop.com/buy.php?item=watch&num=100
item參數確定要購買什麼物品，num參數確定要購買數量，如果攻擊者以隱藏的方式發送給目標用戶鏈接那麼如果目標用戶不小心訪問以後，購買的數量就成了100個
防範方法：
1、檢查網頁的來源
2、檢查內置的隱藏變數
3、使用POST，不要使用GET，處理變數也不要直接使用$_REQUEST
Session固定攻擊(Session Fixation)
這種攻擊方式的核心要點就是讓合法用戶使用攻擊者預先設定的session id來訪問被攻擊的應用程序，一旦用戶的會話ID被成功固定，攻擊者就可以通過此session id來冒充用戶訪問應用程序。
例如:
1.攻擊者訪問網站bank.com，獲取他自己的session id，如：SID=123；
2.攻擊者給目標用戶發送鏈接，並帶上自己的session id，如：bank.com/?SID=123；
3.目標用戶點擊了bank.com/?SID=123，像往常一樣，輸入自己的用戶名、密碼登錄到網站；
4.由於伺服器的session id不改變，現在攻擊者點擊bank.com/?SID=123，他就擁有了目標用戶的身份，可以為所欲為了。
防範方法：
1.定期更改session id
session_regenerate_id(TRUE);//刪除舊的session文件，每次都會產生一個新的session id。默認false，保留舊的session
2.更改session的名稱
session的默認名稱是PHPSESSID，此變數會保存在cookie中，如果攻擊者不抓包分析，就不能猜到這個名稱，阻擋部分攻擊[code]session_name("mysessionid");
復制代碼
3.關閉透明化session id
透明化session id指當瀏覽器中的http請求沒有使用cookie來制定session id時，sessioin id使用鏈接來傳遞
int_set("session.use_trans_sid", 0);
復制代碼
4.只從cookie檢查session id
int_set("session.use_cookies", 1);//表示使用cookies存放session id
int_set("session.use_only_cookies", 1);//表示只使用cookies存放session id
復制代碼
5.使用URL傳遞隱藏參數
$sid = md5(uniqid(rand()), TRUE));
$_SESSION["sid"] = $sid;//攻擊者雖然能獲取session數據，但是無法得知$sid的值，只要檢查sid的值，就可以確認當前頁面是否是web程序自己調用的
Session劫持攻擊(Session Hijacking)
會話劫持是指攻擊者利用各種手段來獲取目標用戶的session id。一旦獲取到session id，那麼攻擊者可以利用目標用戶的身份來登錄網站，獲取目標用戶的操作許可權。
攻擊者獲取目標用戶session id的方法:
1.暴力破解:嘗試各種session id，直到破解為止;
2.計算:如果session id使用非隨機的方式產生，那麼就有可能計算出來;
3.竊取:使用網路截獲，xss攻擊等方法獲得
防範方法：
1.定期更改session id
2.更改session的名稱
3.關閉透明化session id
4.設置HttpOnly。通過設置Cookie的HttpOnly為true，可以防止客戶端腳本訪問這個Cookie，從而有效的防止XSS攻擊。
文件上傳漏洞攻擊(File Upload Attack)
文件上傳漏洞指攻擊者利用程序缺陷繞過系統對文件的驗證與處理策略將惡意代碼上傳到伺服器並獲得執行伺服器端命令的能力。
常用的攻擊手段有：
上傳Web腳本代碼，Web容器解釋執行上傳的惡意腳本；
上傳Flash跨域策略文件crossdomain.xml，修改訪問許可權(其他策略文件利用方式類似)；
上傳病毒、木馬文件，誘騙用戶和管理員下載執行；
上傳包含腳本的圖片，某些瀏覽器的低級版本會執行該腳本，用於釣魚和欺詐。
總的來說，利用的上傳文件要麼具備可執行能力(惡意代碼)，要麼具備影響伺服器行為的能力(配置文件)。
防範方法：
1.文件上傳的目錄設置為不可執行；
2.判斷文件類型，設置白名單。對於圖片的處理，可以使用壓縮函數或者resize函數，在處理圖片的同時破壞圖片中可能包含的HTML代碼；
3.使用隨機數改寫文件名和文件路徑：一個是上傳後無法訪問；再來就是像shell.php.rar.rar和crossdomain.xml這種文件，都將因為重命名而無法攻擊；
4.單獨設置文件伺服器的域名：由於瀏覽器同源策略的關系，一系列客戶端攻擊將失效，比如上傳crossdomain.xml、上傳包含javascript的XSS利用等問題將得到解決。
H. XSS攻擊原理是什麼
什麼是XSS攻擊XSS又叫CSS (Cross Site Script) ，跨站腳本攻擊。它指的是惡意攻擊者往Web頁面里插入惡意html代碼，當用戶瀏覽該頁之時，嵌入其中Web裡面的html代碼會被執行，從而達到惡意攻擊用戶的特殊目的。XSS屬於被動式的攻擊，因為其被動且不好利用，所以許多人常忽略其危害性。而本文主要講的是利用XSS得到目標伺服器的shell。技術雖然是老技術，但是其思路希望對大家有幫助。 [編輯本段]如何尋找XSS漏洞就個人而言，我把XSS攻擊分成兩類，一類是來自內部的攻擊，主要指的是利用程序自身的漏洞，構造跨站語句，如:dvbbs的showerror.asp存在的跨站漏洞。另一類則是來來自外部的攻擊，主要指的自己構造XSS跨站漏洞網頁或者尋找非目標機以外的有跨站漏洞的網頁。如當我們要滲透一個站點，我們自己構造一個有跨站漏洞的網頁，然後構造跨站語句，通過結合其它技術，如社會工程學等，欺騙目標伺服器的管理員打開。
I. 跨站腳本攻擊xss的原理是什麼有什麼危害如何防範
xxs攻擊原理是網頁對用戶輸入的字元串過濾不嚴，導致在提交輸入信息的時候瀏覽器執行了黑客嵌入的xxs腳本，致使用戶信息泄露。黑客可將偽裝過的含義腳本語句的鏈接發送給受害者，當受害者點擊鏈接的時候，由於網頁沒有過濾腳本語句，所以瀏覽器執行了腳本語句，而這個腳本語句的作用是將用戶的cookie發送到黑客指定的地址，然後黑客就可以利用受害者的cookie竊取受害者的個人信息等等。這種攻擊對伺服器沒有多大危害，但對用戶危害很大，要防範這種攻擊應該在設計網站的時候對用戶提交的內容進行嚴格的過濾。