如何有效防禦XSS攻擊？網路安全學習教程

　　相信大家經常聽到XSS攻擊這個詞，那麼XSS攻擊到底是什麼?所謂的XSS攻擊全稱跨站指令碼攻擊，是一種在Web應用中的電腦保安漏洞，允許惡意Web使用者將程式碼植入到提供給其它使用者使用的頁面中，分為反射型、DOM-based型以及儲存型三大類。今天這篇文章小編主要為大家介紹一下XSS攻擊防禦方法，快來了解一下吧。

　　1、基於特徵的防禦。XSS漏洞和著名的SQL隱碼攻擊漏洞一樣，都是利用了Web頁面的編寫不完善，所以每一個漏洞所利用和針對的弱點都不盡相同，這就是給XSS漏洞防禦帶來的困難，不可能以單一特徵來概括所有XSS攻擊。

　　傳統的XSS防禦在進行攻擊鑑別時多采用特徵匹配，主要是針對JavaScript這個關鍵詞進行檢索，但是這種鑑別不夠靈活，凡是提交的資訊中各有JavaScript時，就被硬性的判定為XSS攻擊。

　　2、基於程式碼修改的防禦。Web頁面開發者在編寫程式時往往會出現一些失誤或漏洞，XSS攻擊正是利用了失誤和漏洞，因此一種比較理想的方法就是透過最佳化Web應用開發來減少漏洞，避免被攻擊：

　　①使用者向伺服器上提交的資訊要對URL和附帶的HTTP頭、POST資料等進行查詢，對不是規定格式、長度的內容進行過濾。

　　②實現Session標記、CAPTCHA系統或者HTTP引用頭檢查，以防功能被第三方網站所執行。

　　③確認接收的內容被妥善的規範化，僅包含最小的、安全的Tag，去掉任何對遠端內容的引用，使用HTTP only的cookie。

　　3、客戶端分層防禦策略。客戶端跨站指令碼攻擊的分層防禦策略是基於獨立分配執行緒和分層防禦策略的安全模型。它建立在客戶端，這是它與其他模型最大的區別。之所以客戶端安全性如此重要，客戶端在接受伺服器資訊，選擇性的執行相關內容。這樣就可以使防禦XSS攻擊變得容易，該模型主要由三大部分組成：

　　①對每一個網頁分配獨立執行緒且分析資源消耗的網頁執行緒分析模組;

　　②包含分層防禦策略四個規則的使用者輸入分析模組;

　　③儲存網際網路上有關XSS惡意網站資訊的XSS資訊資料庫。