① HOST头攻击漏洞的解决： web应用使用SERVER_NAME而非host header。 请问具体如何实施呢(是java开发的)
host header，就卖铅毕是请求消息头里面的一个字段，如下图
SERVER_NAME应该是指中芹Nginx或者tomcat里面的一个白名单机制，意思是配置之后，只有白名单内的ip才被允许访问，具体怎么用激迟不清楚。
解决这个漏洞，网上有这种方案，可以一试：
打开tomcat的conf目录中的server.xml文件，在<Host>节点做如下配置：
<Host name="localhost" appBase="webapps" unpackWARs="true" autoDeploy="true" xmlValidation="false" xmlNamespaceAware="false">
<Alias>10.1.8.158</Alias><!--10.1.8.158 本地局域网-->
<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs" prefix="localhost_access_log." suffix=".txt" resolveHosts="false" pattern="%a %A %b %B %h %H %l %m %p %s %S %t %u %U %v %D %T" />
</Host>
② 网站前端指的是什么
在的前端开发已经不仅仅是简单网页制作了，需要做很多复杂的交互设计。
Web前端开发技术是一个先易后难的过程，主要包括三个要素：HTML、CSS和JavaScript，这就要求前端开发工程师不仅要掌握基本的Web前端开发技术，网站性能优化、SEO和服务器端的基础简运知识，而且要学会运用各种工具进行辅助开发以及理论层面的知识，包括代码的可维护性、组件的易用性、分层语义模板和浏览器分级支持等。
网页美工是美工用Dreamwerver等网页编辑软件把已经设计好的平面效果图，制做成HTML静态网页文件。这里就要求美工用到CSS和DIV技术了，也就是所谓的切图。
web前端目前三大主流框架都是Angular、React、Vue，当然还有其他前端框架，像QucikUI等等一些kuang'jia框架。
Vue
Vue 被设计为可以自底向上逐层应用。Vue 的核心库只拦纯梁关注视图层，不仅易于上手，还便于与第三方库或既有项目整合。
React
React 是一个用于构建用户界面的 JAVASCRIPT 库。React主要用于构建UI，拥有较高的性能，代码逻辑非常简单。
Angular
一款优秀的前端JS框架，已经被用于Google的多款产品当中。AngularJS有着诸多特性，最为核心的是：MVVM、模块化、自动化双裤橘向数据绑定、语义化标签、依赖注入等等。
后端的开，，PHP框架有Laravel、CakePHP，Python框架有Django，Ruby on Rails框架是一个用Ruby编程语言编写的服务器端Web框架，Ruby鼓励使用设计模式，如MVC和DRY。
③ 网站建设开发
首先是域名费用，注册一个一般常规的域名费用大概是50-100元左右
空间费用，企业网站一般企业版的服务器或者虚拟主机就可以了，几百到几千元不等的，服务器的费用和配置有关。
设计费用：正规的定制设计都是要先设计网站架构的。目前的人工费用比较高，一般一个页面设计的价格在500-1000元左右，主要根据页面内容的多少和美工要求的高低去分析确定。
前端切图的费用：把分层效果图切成html文件，包含一些特效的展示。常规的PC端和自适应的结构也会不同，大概300-600元一个页面
功能开发费用：整个网站的功能开发，如果都是常规的展示结构的话，是比较简单的，如果包含会员，下载等比较复杂的结构的话，价格就会高些。一慎迅般一个企业站的功能开发费用在1000-3000之间的。具体费用根据功能复杂程度而定。
网站进行备案：其实是免费的，但是有时候需要幕布拍照填写核验单事宜，涉及到则孝族邮寄费用，大概10元左右。
以上网站制作大概就完成了，费用也孙弊大概如此，如果定制网站的话，后期不改动栏目功能一般不会涉及到太多的维护费用。空间和域名记得每年进行续费就可以了
④ 前端从入门到精通大概需要多长时间
找准学习路线，每天保证10小时以上学习时间，一般在半年时间左右能达到公司用人标准。
想要精通精进，要一直保持学习状态。
懂的越多，不懂的就越多。
前端从入门到精通大概需要多长时间
⑤ 怎么才能找到网站的漏洞
首先修改电脑本地host文件。改了之后就可以用http://test.com虚拟域名访问本地文件了。文件目录在“C:WindowsSystem32driversetc” 网站目录很简单，如下：在网站入口中，引用了数据库配置文件，然后输出一句话来模拟网站首页。在数据库配置文件中，我参照当前流行的框架ThinkPHP数据库配置文件，返回一个数据库基本信息数组，包括数据库的端口和密码。
就是 Web安全领域的知识，Web 漏洞的类型有很多，从前端到后端或者傲游内网 要是只靠扫描器的话，也没什么大作用，即使你走运找到了个，因为没有知识积累，你也不会利用它，也是白搭的 若是有兴趣可以自己去深入学习一下，若是因为看某音某小视频而激起的三分钟热度，劝你还是放弃吧，毕竟这不是一两天就能学会的，浪费时间而已。
而且，除了必要的专业领域知识，还要必备许多其它的课外技能，需要大量的时间去学习。
⑥ 前端入门需要准备什么
编辑器: sublime, webstorm, atom, vim等
调试工具: 浏览器自带的devtools，移动端页面远程调试等
构建工具: gulp, grunt, webpack
包管理工具: bower
远程服务器工具: filezilla/shell
工具主要作用就是帮工程师减少工作量，自动化处理，如压缩css, 合并js/css, 上传cdn, 图片优化, 管理jquery等三方库
前端入门操作都是非常简单
1、学习css，这个肆码猛css没有包含css3，通常我们看到对于web前端工程师要求是要会使用cssdiv或csshtml对界面进行布局，因此 css是辅助html来展示以及布局的，称之为css样式。上面说的cssdiv中的div就是html主要用在布局上的，div是核心要掌握的东 西。
而且css是一定需要配合div进行使用，所以学css要熟悉掌握position、height、float、width，并对于界面的最大最小、能 使用百分百、margin、overflow、padding等裂桥。这些关系到布局样式的一定要能够熟练掌握，实在不明白可以到杭州有码互联咨询 下，有码讲师都是有超过三年以上的项目经历。
2、html是web前端开发工具中最为基础和最简单的，在html中要掌握的有form table、span、p、div、ul li 、font这各类标签。 尤其是table和div，table虽然也能布局使用，但是不方便，通常是用模陆table和数据打交道的。而div是用来布局。
3、学习web前端开发的话要是能够会些java、php等后台语言更是加分了。因为web前端的界面数据都是在后台那过来的，要是会后 台语言的话，就更节约时间，不仅知道如何于后台交互数据是最好的，也知道怎么写前端的代码会更加规范。就不会出现写法和后 端的数据不匹配，要重现编写的尴尬现象了。
4、掌握js，也许前面提到的大家都觉得还可以。但一说到js就晕了吧？事实上js的入门非常的简单，只要能够会根据某个name、 或id拿到网页的样式、值和dom。以及会给某些name或id的元素标签赋值、追html、追加数据，在按照逻辑推断。至于效果无疑就 是弹框、跳转、隐藏等。再把这些结合到其他的，代码其实就一点也不不会难了。学会了基础的js之后，其他的方面结合学习资料 多看多用基本上是没问题的。
5、学习jquery.jquery是把js封装了一套的一个js插件。最终就是希望代码简化、操作更方便。jquery入门也不难，它需要学的和 js一样，不同的是换成了jq的代码。其他结合别的学习资料就可以了。
6、最后是学习css3html5了，这个目前是最流行的了，如果是搞后端的话，在工作里面也不怎么会用到，一般是在网站中出现问 题了，那就需要用到css3html5去修改一下。
⑦ 前端和后端开发有什么区别吗
Web前端和后端的区别：
1、展示方式
前端是用户可见的界面，网站前端页面也就是网页的页面开发，比如网页上的特效、布局、图片、视频，音频等内容。前端的工作内容就是将美工设计的效果图的设计成浏览器可以运行的网页，并配合后端做网页的数据显示和交互等可视方面的工作内容。
后端用户看不见的东西，通常是与前端工程师进行数据交互及网站数据的保存和读取，相对来说后端涉及到的逻辑代码隐绝悉比前端要多的多，后端考虑的是底层业务逻辑的实现，平台的稳定性与性能等。
2、技术实现
前端开发用到的技术包括但不限于html5、css3、javascript、jquery、Bootstrap、Node.js 、Webpack，AngularJs，ReactJs，VueJs等技术；后端开发以java为例主要用到的是包括但不限于Struts spring springmvc Hibernate Http协议 Servlet Tomcat服务器等技术。
3、工作内容
前端工程师负责Web前端开宏粗发、移动端开发、大数据呈现端开发。Web前端开发针对PC端开发任务；移动端开发包括Android开发、iOS开发和各种小程序开发，在移动互联网迅速发展的带动下，移动端的开发任务量是比较大的；大数据呈现则主要是基于已有的平台完成最终分析结果的呈现，呈现方式通常也有多种选择。
后端工程师负责平台设计、接口设计和功能实现。平台设计主要是搭建后端的支撑服务容器；接口设计主要针对于不同行业进行相应的功能接口设计，通常一个平台有多套接口，就像卫星导航平台设有民用和军用两套接口一样；功能实现则是完成具体的业务逻辑实现。
前后端开发的相似点：函数式编程、模块化思想、分层思想、单灶乎元测试、lint、assert 方法、日志、声明式和命令式的实践经验、数据处理的本质实践与思考、部分库的使
前后端开发的区别：前端、重用户体验、对UI库的依赖较强、界面的个性化较强、处理各个浏览器平台对界面的渲染差异、后端、并发处理、事务、部署复杂，特别是微服务出来后、具体的功能特性，如大数据分析，AI方面的工作。
通过以上总结的Web前端和后端的区别，可以看出前端开发的内容是我们在网页看到的内容，而后端开发主要业务逻辑规则。
有的人认为，前端很好学，后端不好学。也有的人认为，前端不好学，后端好学，归根到底还得看个人兴趣。
⑧ web前端需要掌握的哪些知识
一个合格的web前端需要掌握哪些技术？
最基础的自然是JavaScript，HTML和css这三种语言。
首先了解下它们到底是什么。
HTML是用户看到的网页的骨架，比如你会发现当前页面分为左中右三个部分，其中还填充了不同的文字和图片；每个子部分还会继续细分，比如当前页面的中间部分下方有输入框等等。
CSS是网页展示的细节控制，比如你会发现有的文字是红底白色，有的子部分占了页面的二分之一宽，有的只占六分之一，有些部分需要用户进行某些操作（如点击，滑动）才会出现等等，这些就是有CSS来控制。
JavaScript是负责捕捉用户在浏览器上的操作，并与后端服务器进行数据交换的脚本语言。当用户在前端进行点击，输入等操作的时候，会触动绑定了该动作的JavaScript脚本，然后JavaScript收集数据，调用后端的api接口，再将后端返回的数据交给HTML和CSS渲染出来。
一个网页的HTML代码和CSS代码是可以直接在浏览器中查看的，你可以直接按F12，就能看到下图右侧的模块，左右侧红框就是代码与实际页面的对应关系。因此如果你看到某个网站的布局很不错，不妨点击F12，进行学习。
前端框架
然而，实际应用中，已经很少有正规的项目组直接用上述三种语言进行web 前端开发了，而是使用很多封装了这三种语言的框架，比如
Vue.js
，angular，react native等等。它们是来自谷歌和Facebook的大神项目组，基于自己的经验，封装了原生前端语言，实现了更多更复杂更酷炫的功能。因此，可以说，学会使用这些框架，能达到事半功倍的效果。
比如用了vue，它是自底向上增量开发的设计，其核心只关心图层，而且还可以与其他库或已存项目融合，学习门槛极其友好；另一方面，vue可以驱动单文件组件和vue生态系统支持的库开发的复杂单页应用。有了这个生态系统，可以说，vue是处在一个不断壮大，不断完善的欣欣向荣的状态。
网络通信协议
由于前后端分离的趋势，前端还需要了解很多网络通信协议的知识，这里不局限于http协议，因为据我的经验，有时候我们还会用到websocket等协议。因此，前端需要简单了解不同协议的特点以及使用方式，但是好消息是不用像学习计算机网络课程一样对每种协议的原理都了解的特别透彻，只要学会如何用前端语言发送这种协议的请求就够了。
⑨ xss漏洞防御方法
xss漏洞防御方法有输入过滤、纯前端渲染、转义HTML和标签和属性基于白名单过滤。
输入过滤：有时候需要多次过滤，猛神汪例如<scrip<script>t>过滤掉<script>后还是<script>，需要注意多个过滤器的先后次序。当多个过滤器一起生效时，有可能后进行的过滤导致前面的过滤失效。
纯前端渲染：在纯前端渲染中，我们会明确的告诉浏览器：下面要设置的内容是文本（innerText），还是属性（setAttribute），还是瞎信样式（style）等等。浏览器不会被轻易的被欺骗，执行预期外的代码了。
转义HTML：如果拼接HTML是必要的，就需要采用合适的转义库，对HTML模板各处插入点进行充分的转义。常用的模板引擎，如ejs、FreeMarker等，对于HTML转义通常只有一个规则，就是把&、<、>、"、'、/这几个字符转义掉，确实能起到一定的XSS防护作用。枝仔
标签和属性基于白名单过滤：对于副文本编辑器来说，其产物本身就是html代码，所以没办法简单粗暴使用转义来处理，应该要对内容中的标签和属性，基于白名单进行过滤（附XSS黑名单：DOM中的内联事件监听器如onclick等、<a>标签的href属性、<script>标签、css中的url功能）。
xss攻击的原理
HTML是一种超文本标记语言，通过将一些字符特殊地对待来区别文本和标记，例如，小于符号（<）被看作是HTML标签的开始，<title>与</title>之间的字符是页面的标题等等。
当动态页面中插入的内容含有这些特殊字符（如<）时，用户浏览器会将其误认为是插入了HTML标签，当这些HTML标签引入了一段JavaScript脚本时，这些脚本程序就将会在用户浏览器中执行。所以，当这些特殊字符不能被动态页面检查或检查出现失误时，就将会产生XSS漏洞。
⑩ 文件上传漏洞原理是什么
文件上传原理
在文件上传的功能处，若服务端脚本语言未对上传的文件进行严格验证和过滤，导致恶意用户上传恶意的脚本文件时，就有可能获取执行服务端命令的能力，这就是文件上传漏洞。
文件上传漏洞高危触发点
相册、头像上传
视频、照片分享
附件上传（论坛发帖、邮箱）
文件管理器
存在文件上传功能的地方都有可能存在文件上传漏洞，比如相册、头像上传，视频、照片分享。论坛发帖和邮箱等可以上传附件的地方也是上传漏洞的高危地带。另外像文件管理器这样的功能也有可能被攻击者所利用值得注意的是，如果移动端也存在类似的操作的话，那么相同的原理，也存在文件上传漏洞的风险。
为了防御文件上传漏洞的产生，需要在服务端做严格的防护，因为浏览器、客户端传回的数据并不可信任。首先是第一道防线，文件类型检测，上传的文件需要经过严格的文件类型检测防止上传的文件是恶意脚本。
上传之后的文件要进行重命名。
如果上传的文件是图片类型，可以选择使用重绘图的方式对图片进行保存，但是这种方式会对服务端性能稍有影响
最后，文件上传的目录不可赋予可执行权限，可以使用BOS这样的云存储服务，当然最方便的还是使用BOS这样现成的云存储服务