繁體中文当前位置: 首页 > 图文教程 > 网络编程 > ASP > 跨站Script攻击（三）
- ASP
- BytesToBstr获取的源码转换为中文的代码
- PostHttpPage用asp是实现模拟登录效果的代码
- asp下实现UrlEncoding转换编码的代码
- GetBody asp实现截取字符串的代码
- asp之GetArray提取链接地址，以$Array$分隔的代码
- DefiniteUrl asp将相对地址转换为绝对地址的代码
- ReplaceSaveRemoteFile 替换、保存远程图片 的代码
- ReSaveRemoteFile函数之asp实现查找文件保存替换的代码
- FormatRemoteUrl函数之asp实现格式化成当前网站完整的URL-将相对地址转换为绝对地址的代码
- ReplaceTrim 函数之asp实现过滤掉字符中所有的tab和回车和换行的代码
- CheckFile函数之asp实现检查某一文件是否存在的代码
- SaveRemoteFile函数之asp实现保存远程的文件到本地的代码
- FpHtmlEnCode 函数之标题过滤特殊符号的代码
- GetPaing 函数之asp采集函数中用到的获取分页的代码
- ScriptHtml 函数之过滤html标记的asp代码
- asp实现检查目录是否存在与建立目录的函数
- ShowPage 显示“上一页 下一页”等信息的封装代码
- JoinChar 向地址中加入 ? 或 & 用于实现传参
- CreateKeyWord asp实现的由给定的字符串生成关键字的代码
- Server.Execute方法执行指定的ASP程序
ASP 中的 跨站Script攻击（三）
出处:互联网 整理: 软晨网（RuanChen.com） 发布: 2009-11-03 浏览: 219 ::
收藏到网摘: n/a
第二部分：跨站Script攻击的防犯
一、如何避免服务器受到跨站Script的攻击
值得庆幸的是，防止跨站Script攻击的技术正趋于完善。目前可采取这几种方式来防止跨站Script的攻击：
1.对动态生成的页面的字符进行编码
2.对输入进行过滤和限制
3.使用HTML和URL编码
1.对动态生成的页面的字符进行编码
你们首先要采用的就是对动态生成页面的字符进行编码，你必须这样做，不然黑客很有可能更改你的字符设置而轻易地通过你
的防线。如果我们的网站是个英语网站，这样只要我们把字符编码设成拉丁字符ISO-8859-1就行了，具体情况如下：
<META http-equiv="Content-Type" content="text/html;charset=ISO-8859-1">
2.过滤和限制所有输入的数据
这是防止跨站Script的攻击的第二种方法，在进行登录的时侯，不要让那些特殊的字符也输入进去。因此我们可在ONSUBMIT方
法中加入JAVASCRIPT程序来完成这个功能。在本例中我们限制最多只能输入15个字符。这样可以阻止那些较长的script的输入。
在<<Knowledge Base Article QA252985>>这本书中微软提供了一个简短的Javascript程序来完成对输入数据的过滤。我们
也根据具体情况引进了这段代码用于我们的例子中，如：
function checkForm() {
document.forms[0].userName.value = _
RemoveBad(document.forms[0].userName.value);
return true;
}
// MICROSOFT'S CODE
function RemoveBad(strTemp) {
strTemp = strTemp.replace(/\</\>/\"/\'/\%/\;/\(/\)/\&/\+/\-/g,"");
return strTemp;
}
用这个办法，可以过滤在输入中含有的这些字符：
% < > [ ] { } ; & + - " '( )
3.使用HTML和URL编码
尽管使用上面所说的过滤和限制输入的办法是一种非常重要用防御手段，但它对我的这种采用邮件方式的攻击还是无能为力。
因为我把URL的参数直接放在邮件中。针对这种情况我们不得不采取一种更有力的安全措施。如果我们用的ASP，解决起来相对说来
要容易得多。只要对动态生成的网页总进行HTML和URL编码就行了。针对我们例子中的情况，在第一输入页中我们对redirect URL
作了如下改动：
strRedirectUrl = strRedirectUrl & _
server.URLEncode(Response.Cookies("userName"))
在执行页中我们加入：
strUserName =server.HTMLEncode(Request.QueryString("userName"))
和
strUserName =server.HTMLEncode(Request.Form("userName"))
微软推荐对所有动态页面的输入和输出都应进行编码。甚至在对数据库数据的存入和取出也应如此。这样你就能在很大程度上
避免跨站script的攻击。
要做到这些还要在Page1.asp中加入：
<%@ Language=VBScript %>
<% If Request.Cookies("userName") <> "" Then
'redirect if detect the cookie
Dim strRedirectUrl
strRedirectUrl = "page2.asp?userName="
strRedirectUrl = strRedirectUrl & _
server.URLEncode(Request.Cookies("userName"))
Response.Redirect(strRedirectUrl)
Else %>
<HTML>
<HEAD>
<META http-equiv="Content-Type"content="text/html; charset=ISO-8859-1">
<TITLE>MyNiceSite.com Home Page</TITLE>
</HEAD>
<SCRIPT LANGUAGE="javascript">
<!--
function checkForm() {
document.forms[0].userName.value =
RemoveBad(document.forms[0].userName.value);
return true;
}
//******************************************************
//Programmer: NOT ORIGINAL CODE - COMES FROM MICROSOFT
//Code Source: Microsoft Knowledge Base Article Q25z985
//Description: Removes bad characters.
//******************************************************
function RemoveBad(strTemp) {
strTemp =strTemp.replace(/\</\>/\"/\'/\%/\;/\(/\)/\&/\+/\-/g, "");
return strTemp;
}
//-->
</SCRIPT>
<BODY>
<BR>
<H2>MyNiceSite.com</H2>
<BR>
<FORM method="post"action="page2.asp" onsubmit="return checkForm()
评论 (0) All
