XSS
概述
XSS 攻擊是指攻擊者在網(wǎng)站上注入惡意的客戶端代碼躬充，通過惡意腳本對客戶端網(wǎng)頁進(jìn)行篡改不翩，從而在用戶瀏覽網(wǎng)頁時，對用戶瀏覽器進(jìn)行控制或者獲取用戶隱私數(shù)據(jù)的一種攻擊方式
XSS 簡單理解就是麻裳，正常的話就是客戶端和服務(wù)器之間進(jìn)行溝通口蝠，但是架不住第三方"小偷"，自己模擬偽造一個網(wǎng)站津坑，誘導(dǎo)用戶去操作妙蔗，用戶操作不要緊，這個請求就會利用"小偷"搭建的服務(wù)器向當(dāng)前頁面中插入惡意的可執(zhí)行的腳本疆瑰，利用這個腳本“小偷”就可以在頁面中操作用戶的瀏覽器了
一句話總結(jié)就是眉反， XSS是由于用戶信任網(wǎng)站造成的攻擊， 用戶過分信任網(wǎng)站地址欄代表的那個網(wǎng)站代碼在自己本地任意執(zhí)行穆役。如果沒有瀏覽器的安全機制限制寸五，XSS代碼可以在用戶瀏覽器中為所欲為
防御 XSS 攻擊
- HttpOnly 防止劫取 Cookie
- 用戶的輸入檢查
- 服務(wù)端的輸出檢查
CSRF
概述
CSRF，即 Cross Site Request Forgery耿币，中譯是跨站請求偽造梳杏，是一種劫持受信任用戶向服務(wù)器發(fā)送非預(yù)期請求的攻擊方式。通常情況下，CSRF 攻擊是攻擊者借助受害者的 Cookie 騙取服務(wù)器的信任十性，可以在受害者毫不知情的情況下以受害者名義偽造請求發(fā)送給受攻擊服務(wù)器叛溢，從而在并未授權(quán)的情況下執(zhí)行在權(quán)限保護(hù)之下的操作。
CSRF簡單理解就是劲适，按照常理來說楷掉，用戶是直接和服務(wù)器進(jìn)行溝通的，客戶端向服務(wù)器發(fā)送請求霞势，服務(wù)器把響應(yīng)發(fā)送回來烹植；CSRF就好像第三者一樣，在兩者之間插了一腳愕贡，它自己偽造了一個網(wǎng)站草雕，誘導(dǎo)用戶去操作，用戶操作完成后發(fā)送請求颂鸿，CSRF站點劫持了請求信息促绵，CSRF就模擬這些信息像服務(wù)器發(fā)送請求，因為服務(wù)器對該用戶是信任的（根據(jù)里面的cookie判斷確實是信任的等等）嘴纺，修改服務(wù)器中存儲的內(nèi)容败晴；
一句話總結(jié)就是， CSRF是由于網(wǎng)站信任用戶造成的攻擊栽渴， 網(wǎng)站過分信任用戶尖坤，放任來自所謂通過訪問控制機制的合法用戶的請求執(zhí)行網(wǎng)站的某個特定功能。
防御 CSRF 攻擊
1.驗證碼
2.Referer Check
3.Token 驗證
兩者闲擦，XSS攻擊在改客戶端慢味，CSRF攻擊在改服務(wù)器
