网站安全原理性综合测试

网站安全原理性综合测试

网站是通过cookie来识别用户的，当用户成功进行身份验证之后浏览器就会得到一个标识其身份的cookie，只要不关闭浏览器或者退出登录，以后访问这个网站会带上这个cookie。如果这期间浏览器被人控制着请求了这个网站的url，可能就会执行一些用户不想做的功能(比如修改个人资料)。因为这个不是用户真正想发出的请求，这就是所谓的请求伪造。因为这些请求也是可以从第三方网站提交的，所以前缀跨站二字。

1、XSS

跨站脚本(Cross-site scripting，通常简称为XSS或跨站脚本或跨站脚本攻击)是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java， VBScript， ActiveX， Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限(如执行一些操作)、私密网页内容、会话和cookie等各种内容。

XSS攻击的危害总结

1.盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号

2.控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力

3.盗窃企业重要的具有商业价值的资料

4.非法转账电子邮件

5.强制发送网站挂马

6.控制受害者机器向其它网站发起攻击