xss攻击使用application/json请求有用么
content-type application/json 请求 服务端怎么获取请求数据 在Android/java平台上实现POST一个json数据： JSONObject jsonObj = new JSONObject(); jsonObj.put("username", username); jsonObj.put("apikey", apikey); /
如何在jetty服务器层面解决XSS漏洞？
一，给cookie的属性设置为httponly
这样能够避免js读取Cookie信息（设置后有助于缓解XSS，但是XSS除了劫持Cookie之外，还可以模拟用户的身份进行操作）
二，进行输入检查
如果仅仅在客户端通过JS来做输入校验，有可能会被攻击者绕过，WEB开发中的普遍做法是同时在客户端和服务端做校验。这种输入检查的方式也称之为XSS Filter。
三，输出检查
一般说来，除了富文本输出之外，在变量输出到HTML页面时，可以使用编码或者转义的方式来防御XSS攻击。
四，防御DOM BasedXSS
前面提到的集中方法，对于这种类型不太适用，需要特别对待，那如何才能防御呢？
首先是$var输出到script是，应该执行一次javasriptEncode，其次在doument.write输出到HTML页面时，如果是输出到事件或者脚本，可以再做一次javaScriptEncode，如果是输出到HTML内容或者属性，则可以做一次HtmlEncode。
上面提到的这些防御方法都属于安全生产的环节，也就是说实在开发同学写代码的时候要特别注意，这种是否做的规范，可以通过工具扫描代码的方式来实现，也就是白盒测试，如果代码没有做输入或者输出检查，则发报告提示开发来进行修改。但是有些场景白盒没法覆盖到，例如输出jsonp类型的接口，对于callback参数的原味输出，白盒有时候就扫不出来，这时候，可以通过黑盒测试工具，模拟入参的各种情况，也就是穷举，来构造，如果发生了XSS请求，则发出报告即可。
已阻止重定向 cors 请求.怎么解决
我们发现，Web页面上调用js文件时不受是否跨域的影响，凡是拥有"src"这个属性的标签都拥有跨域的能力，比如script、img、iframe。那就是说如果要跨域访问数据，就服务端只能把数据放在js格式的文件里。恰巧我们知道JSON可以简洁的描述复杂数据，而且JSON还被js原生支持，所以在客户端几乎可以随心所欲的处理这种格式的数据。然后客户端就可以通过与调用脚本一模一样的方式，来调用跨域服务器上动态生成的js格式文件。客户端在对JSON文件调用成功之后，也就获得了自己所需的数据。这就形成了JSONP的基本概念。允许用户传递一个callback参数给服务端，然后服务端返回数据时会将这个callback参数作为函数名来包裹住JSON数据，这样客户端就可以随意定制自己的函数来自动处理返回数据了。
jQuery支持JSONP的调用。在另外的一个域名中指定好回调函数名称，就可以用下面的形式来就加载JSON数据。
url?callback=?
jQuery.getJSON(url + "callback=?", function(data) {
alert(data.a + data.b);
});
服务端当然也要提供JSONP的支持，其实只要提供读写callback这个params就可以了。
跨域资源共享（CORS）
Cross-Origin Resource Sharing (CORS) 是W3c工作草案，它定义了在跨域访问资源时浏览器和服务器之间如何通信。CORS背后的基本思想是使用自定义的HTTP头部允许浏览器和服务器相互了解对方，从而决定请求或响应成功与否。
CORS与JSONP相比，更为先进、方便和可靠。
1、 JSONP只能实现GET请求，而CORS支持所有类型的HTTP请求。
2、 使用CORS，开发者可以使用普通的XMLHttpRequest发起请求和获得数据，比起JSONP有更好的错误处理。
3、 JSONP主要被老的浏览器支持，它们往往不支持CORS，而绝大多数现代浏览器都已经支持了CORS。
对一个简单的请求，没有自定义头部，要么使用GET，要么使用POST，它的主体是text/plain,请求用一个名叫Orgin的额外的头部发送。Origin头部包含请求页面的头部（协议，域名，端口），这样服务器可以很容易的决定它是否应该提供响应。
服务器端对于CORS的支持，主要就是通过设置Access-Control-Allow-Origin来进行的。
Header set Access-Control-Allow-Origin *
为了防止XSS攻击我们的服务器， 我们可以限制域，比如
Access-Control-Allow-Origin: http://blog.csdn.net
很多服务都已经提供了CORS支持，比如 AWS 支持跨域资源分享功能CORS，向S3上传不需要代理。
xss漏洞类型有哪些？
基于 DOM 的 XSS 攻击是指通过恶意脚本修改页面的 DOM 结构，是纯粹发生在客户端的攻击。DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞。
如何防御XSS攻击？
1. 对输入内容的特定字符进行编码，例如表示 html标记的 等符号。
2. 对重要的 cookie设置 httpOnly, 防止客户端通过document.cookie读取 cookie，此 HTTP头由服务端设置。
3. 将不可信的值输出 URL参数之前，进行 URLEncode操作，而对于从 URL参数中获取值一定要进行格式检测（比如你需要的时URL，就判读是否满足URL格式）。
4. 不要使用 Eval来解析并运行不确定的数据或代码，对于 JSON解析请使用 JSON.parse() 方法。
5. 后端接口也应该要做到关键字符过滤的问题。
以上，是天下数据给大家分享的关于XSS攻击的全部内容，大家记得收藏方便以后查看哦。
如今，各种类型网络攻击日益频繁，除了XSS攻击之外，比较常见的网络攻击类型还包括DDoS攻击、CC攻击等，它们非常难以防御，除了需要做好日常网络安全防护之外，还需要接入高防服务，可以接入天下数据高防cdn，通过天下数据高防cdn隐藏源IP，对攻击流量进行清洗，保障企业网络及业务的正常运行。
在xss中各种过滤的情况，在什么地方可能存在注入点
XSS注入的本质就是:某网页中根据用户的输入,不期待地生成了可执行的js代码,并且js得到了浏览器的执行.意思是说,发给浏览器的字符串中,包含了一段非法的js代码,而这段代码跟用户的输入有关.常见的XSS注入防护,可以通过简单的htmlspecialchars(转义HTML特殊字符),strip_tags(清除HTML标签)来解决,但是,还有一些隐蔽的XSS注入不能通过这两个方法来解决,而且,有时业务需要不允许清除HTML标签和特殊字符.下面列举几种隐蔽的XSS注入方法:IE6/7UTF7XSS漏洞攻击隐蔽指数:5伤害指数:5这个漏洞非常隐蔽,因为它让出现漏洞的网页看起来只有英文字母(ASCII字符),并没有非法字符,htmlspecialchars和strip_tags函数对这种攻击没有作用.不过,这个攻击只对IE6/IE7起作用,从IE8起微软已经修复了.你可以把下面这段代码保存到一个文本文件中(前面不要有空格和换行),然后用IE6打开试试(没有恶意代码,只是一个演示):+/v8+ADw-script+AD4-alert(document.location)+ADw-/script+AD4-最容易中招的就是JSONP的应用了,解决方法是把非字母和数字下划线的字符全部过滤掉.还有一种方法是在网页开始输出空格或者换行,这样,UTF7-XSS就不能起作用了.因为只对非常老版本的IE6/IE7造成伤害,对Firefox/Chrome没有伤害,所以伤害指数只能给4颗星.参考资料:UTF7-XSS不正确地拼接JavaScript/JSON代码段隐蔽指数:5伤害指数:5Web前端程序员经常在PHP代码或者某些模板语言中,动态地生成一些JavaScript代码片段,例如最常见的:vara='!--?phpechohtmlspecialchars($name);?';不想,$name是通过用户输入的,当用户输入a’;alert(1);时,就形成了非法的JavaScript代码,也就是XSS注入了.只需要把上面的代码改成:vara=
Prototype源码浅析 String部分(三)之HTML字符串处理
HTML处理
stripTags | escapeHTML | unescapeHTML
JSON处理
unfilterJSON | isJSON | evalJSON | parseJSON
脚本处理
stripScripts | extractScripts | evalScripts现在，String部分转入具体的关联应用，分别对应
HTML字符串，JSON字符串和HTML中的脚本字符串。
【乱入一句，有关JSON的一点东西，可以看看http://www.cnblogs.com/TomXu/archive/2012/01/11/2311956.html】
下面分别叙述：
一、HTML字符串
stripTags
：移除字符串中所有的
HTML
标签。
escapeHTML
：
将
HTML
特殊字符转换为它们的等价实体。（对应
对应
对应
）
unescapeHTML
：移除字符串中的标签，并将用实体表示的
HTML
特殊字符转换为它们的正常形式。（escapeHTML
的逆操作）
stripTags
中的一段正则/\w+(\s+("[^"]*"|'[^']*'|[^])+)?|\/\w+/gi用来匹配标签中的内容，注意不能换行，不过换行的话就有语法错误了。
【这个方法唯一需要注意的位置是，stripTags会移除script标签，但是不会移除里面的内容，所以可能将script里面的内容暴露出来，影响页面结构】
二、脚本字符串
stripScripts
：
移除字符串中所有的
HTML
script
块。弥补stripTags方法对script标签的缺陷
extractScripts
：提取出字符串中包含的所有
script
的内容，并将之返回作为一个字符串数组。
evalScripts
：执行字符串中包含的所有
script
块的内容。返回一个数组，该数组包含每个
script
执行后返回的值。
stripScripts中的正则是对stripTags中一个正则的发展
复制代码
代码如下:
function
stripScripts()
{
var
pattern
=
new
RegExp('script[^]*([\\S\\s]*?)\/script',
'img');//i忽略大小写，m换行，g全局
return
this.replace(pattern
,
'');
}
复制代码
代码如下:
function
extractScripts()
{
var
matchAll
=
new
RegExp('script[^]*([\\S\\s]*?)\/script',
'img'),
matchOne
=
new
RegExp('script[^]*([\\S\\s]*?)\/script',
'im');
return
(this.match(matchAll)
||
[]).map(function(scriptTag)
{
return
(scriptTag.match(matchOne)
||
['',
''])[1];
});
}
map是对数组的一个扩展，某些浏览器有这个原生方法，参见《chrome原生方法之数组》
最后获得的是一个所有script标签内部内容的一个数组，因此evalScripts
的做法就很自然的可以想出来——循环遍历获得的数组，然后依次执行（eval），存储每一项执行的结果。
复制代码
代码如下:
function
evalScripts()
{
return
this.extractScripts().map(function(script)
{
return
eval(script)
});
}
三、JSON处理
unfilterJSON：移除
Ajax
JSON
或
JavaScript
响应内容周围的安全注释界定符。
isJSON：使用正则表达式检测字符串是否是合法的
JSON
格式
evalJSON：执行一个
JSON
格式的字符串，并返回结果对象
其中isJSON和evalJSON就是JSON.js中的parseJSON，而且代码也差不多，参见《从字符串中解析出JSON》
顺便说一点unfilterJSON中的安全注释界定符，这是一种安全机制，对于自家的数据，可以在返回值两端加上特殊的字符（界定符）来表明数据的来源，客户端解析的时候用unfilterJSON来处理掉添加的界定符，借此可以在一定程度上减少一些XSS的攻击。
Prototype中默认的形式是：
'/*-secure-\n{"name":
"小西山子","age":
24}\n*/'
其中界定符号是
/*-secure-\n'和'\n*/'
为什么在json头部加上可以防止json劫持
需要的。
composer系统要求
运行 Composer 需要 PHP 5.3.2+ 以上版本。一些敏感的 PHP 设置和编译标志也是必须的，但对于任何不兼容项安装程序都会抛出警告。
我们将从包的来源直接安装，而不是简单的下载 zip 文件，你需要 git 、 svn 或者 hg ，这取决于你载入的包所使用的版本管理系统。