# XSS 与 CSRF

# XSS

Cross-site scripting 跨站脚本攻击

CSRF 与 XSS

• XSS 侧重于脚本，千方百计的注入并执行恶意脚本
• CSRF 不注入恶意脚本，侧重于请求伪造，借刀杀人，在用户不知情的情况下，借用户的名义干坏事

XSS 攻击危害

• 窃取 cookie
• 劫持流量
• 插入广告
• 置入木马
• 获取用户信息

攻击方式

• url 参数注入
• 输入框注入

XSS 分类

• 反射型
  • 浏览器提交恶意代码到服务器，服务端将恶意代码传回客户端
• 存储型
  • 浏览器提交恶意代码到服务端，将恶意代码存储到数据库
• DOM 型
  • 恶意代码仅在客户端运行

XSS 预防

• 校验
• 过滤
• 编码转义
• 限制
  • 限制输入长度
  • cookie 设置成 http only

# CSRF

CSRF 跨站点请求伪造(Cross—Site Request Forgery)，跟 XSS 攻击一样，存在巨大的危害性。即便是大名鼎鼎的 Gmail, 在 2007 年底也存在着 CSRF 漏洞，从而被黑客攻击而使 Gmail 的用户造成巨大的损失。你这可以这么理解 CSRF 攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF 能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账。造成的问题包括：个人隐私泄露以及财产安全。

防御方法

• 检查 Referer 字段
• Token 验证
• 加入验证码