本文目录一览：
- 1、xss漏洞如何防御?
- 2、贾岛的诗《忆江上吴处士》，中的吴处士是谁
- 3、如何防范XSS跨站脚本攻击测试篇
- 4、《忆江上吴处士》表达了诗人怎样的心境
- 5、忆江上吴处士这首诗带拼音
- 6、《忆江上吴处士》的意思
xss漏洞如何防御?
1、基于特征的防御。XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同，这就是给XSS漏洞防御带来的困难，不可能以单一特征来概括所有XSS攻击。
传统的XSS防御在进行攻击鉴别时多采用特征匹配方式，主要是针对JavaScript这个关键词进行检索，但是这种鉴别不够灵活，凡是提交的信息中各有JavaScript时，就被硬性的判定为XSS攻击。
2、基于代码修改的防御。Web页面开发者在编写程序时往往会出现一些失误或漏洞，XSS攻击正是利用了失误和漏洞，因此一种比较理想的方法就是通过优化Web应用开发来减少漏洞，避免被攻击：
①用户向服务器上提交的信息要对URL和附带的HTTP头、POST数据等进行查询，对不是规定格式、长度的内容进行过滤。
②实现Session标记、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。
③确认接收的内容被妥善的规范化，仅包含最小的、安全的Tag，去掉任何对远程内容的引用，使用HTTP only的cookie。
3、客户端分层防御策略。客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端，这是它与其他模型最大的区别。之所以客户端安全性如此重要，客户端在接受服务器信息，选择性的执行相关内容。这样就可以使防御XSS攻击变得容易，该模型主要由三大部分组成：
①对每一个网页分配独立线程且分析资源消耗的网页线程分析模块;
②包含分层防御策略四个规则的用户输入分析模块;
③保存互联网上有关XSS恶意网站信息的XSS信息数据库。
贾岛的诗《忆江上吴处士》，中的吴处士是谁
贾岛的诗《忆江上吴处士》，“秋风生渭水，落叶满长安”中的吴处士是谁？
答案
吴筠 ，唐朝华州华阴(今陕西华阴县)人。字贞节。一作正节。性高鲠，少举儒子业，进士落第后隐居南阳倚帝山。天宝初召至京师，请隶人道门。后入嵩山，师从道教上清派法主潘师正，受授上清经法。与当时文士李白等交往甚密。玄宗多次征召，应对皆名教世务，并以微言讽帝，深蒙赏赐。后被高力士谗言所伤，固辞还山。东游至茅山，大历十三年(778)卒于剡中。弟子私谥“宗元先生”。
如何防范XSS跨站脚本攻击测试篇
不可信数据 不可信数据通常是来自HTTP请求的数据，以URL参数、表单字段、标头或者Cookie的形式。不过从安全角度来看，来自数据库、网络服务器和其他来源的数据往往也是不可信的，也就是说，这些数据可能没有完全通过验证。 应该始终对不可信数据保持警惕，将其视为包含攻击，这意味着在发送不可信数据之前，应该采取措施确定没有攻击再发送。由于应用程序之间的关联不断深化，下游直译程序执行的攻击可以迅速蔓延。 传统上来看，输入验证是处理不可信数据的最好办法，然而，输入验证法并不是注入式攻击的最佳解决方案。首先，输入验证通常是在获取数据时开始执行的，而此时并不知道目的地所在。这也意味着我们并不知道在目标直译程序中哪些字符是重要的。其次，可能更加重要的是，应用程序必须允许潜在危害的字符进入，例如，是不是仅仅因为SQL认为Mr. O'Malley名字包含特殊字符他就不能在数据库中注册呢? 虽然输入验证很重要，但这始终不是解决注入攻击的完整解决方案，最好将输入攻击作为纵深防御措施，而将escaping作为首要防线。 解码(又称为Output Encoding) “Escaping”解码技术主要用于确保字符作为数据处理，而不是作为与直译程序的解析器相关的字符。有很多不同类型的解码，有时候也被成为输出“解码”。有些技术定义特殊的“escape”字符，而其他技术则包含涉及若干字符的更复杂的语法。 不要将输出解码与Unicode字符编码的概念弄混淆了，后者涉及映射Unicode字符到位序列。这种级别的编码通常是自动解码，并不能缓解攻击。但是，如果没有正确理解服务器和浏览器间的目标字符集，有可能导致与非目标字符产生通信，从而招致跨站XSS脚本攻击。这也正是为所有通信指定Unicode字符编码(字符集)(如UTF-8等)的重要所在。 Escaping是重要的工具，能够确保不可信数据不能被用来传递注入攻击。这样做并不会对解码数据造成影响，仍将正确呈现在浏览器中，解码只能阻止运行中发生的攻击。 注入攻击理论 注入攻击是这样一种攻击方式，它主要涉及破坏数据结构并通过使用特殊字符(直译程序正在使用的重要数据)转换为代码结构。XSS是一种注入攻击形式，浏览器作为直译程序，攻击被隐藏在HTML文件中。HTML一直都是代码和数据最差的mashup，因为HTML有很多可能的地方放置代码以及很多不同的有效编码。HTML是很复杂的，因为它不仅是层次结构的，而且还包含很多不同的解析器(XML、HTML、JavaScript、VBScript、CSS、URL等)。 要想真正明白注入攻击与XSS的关系，必须认真考虑HTML DOM的层次结构中的注入攻击。在HTML文件的某个位置(即开发者允许不可信数据列入DOM的位置)插入数据，主要有两种注入代码的方式： Injecting UP，上行注入 最常见的方式是关闭现有的context并开始一个新的代码context，例如，当你关闭HTML属性时使用"并开始新的 可以终止脚本块，即使该脚本块被注入脚本内方法调用内的引用字符，这是因为HTML解析器在JavaScript解析器之前运行。 Injecting DOWN，下行注入 另一种不太常见的执行XSS注入的方式就是，在不关闭当前context的情况下，引入一个subcontext。例如，将改为 ，并不需要躲开HTML属性context，相反只需要引入允许在src属性内写脚本的context即可。另一个例子就是CSS属性中的expression()功能，虽然你可能无法躲开引用CSS属性来进行上行注入，你可以采用x ss:expression(document.write(document.cookie))且无需离开现有context。 同样也有可能直接在现有context内进行注入，例如，可以采用不可信的输入并把它直接放入JavaScript context。这种方式比你想象的更加常用，但是根本不可能利用escaping(或者任何其他方式)保障安全。从本质上讲，如果这样做，你的应用程序只会成为攻击者将恶意代码植入浏览器的渠道。 本文介绍的规则旨在防止上行和下行XSS注入攻击。防止上行注入攻击，你必须避免那些允许你关闭现有context开始新context的字符;而防止攻击跳跃DOM层次级别，你必须避免所有可能关闭context的字符;下行注入攻击，你必须避免任何可以用来在现有context内引入新的sub-context的字符。 积极XSS防御模式 本文把HTML页面当作一个模板，模板上有很多插槽，开发者允许在这些插槽处放置不可信数据。在其他地方放置不可信数据是不允许的，这是“白名单”模式，否认所有不允许的事情。 根据浏览器解析HTML的方式的不同，每种不同类型的插槽都有不同的安全规则。当你在这些插槽处放置不可信数据时，必须采取某些措施以确保数据不会“逃离”相应插槽并闯入允许代码执行的context。从某种意义上说，这种方法将HTML文档当作参数化的数据库查询，数据被保存在具体文职并与escaping代码context相分离。 本文列出了最常见的插槽位置和安全放置数据的规则，基于各种不同的要求、已知的XSS载体和对流行浏览器的大量手动测试，我们保证本文提出的规则都是安全的。 定义好插槽位置，开发者们在放置任何数据前，都应该仔细分析以确保安全性。浏览器解析是非常棘手的，因为很多看起来无关紧要的字符可能起着重要作用。 为什么不能对所有不可信数据进行HTML实体编码? 可以对放入HTML文档正文的不可行数据进行HTML实体编码，如 标签内。也可以对进入属性的不可行数据进行实体编码，尤其是当属性中使用引用符号时。但是HTML实体编码并不总是有效，例如将不可信数据放入 directlyinascript insideanHTMLcomment inanattributename ...NEVERPUTUNTRUSTEDDATAHERE...href="/test"/ inatagname 更重要的是，不要接受来自不可信任来源的JavaScript代码然后运行，例如，名为“callback”的参数就包含JavaScript代码段，没有解码能够解决。 No.2 – 在向HTML元素内容插入不可信数据前对HTML解码 这条规则适用于当你想把不可信数据直接插入HTML正文某处时，这包括内部正常标签(div、p、b、td等)。大多数网站框架都有HTML解码的方法且能够躲开下列字符。但是，这对于其他HTML context是远远不够的，你需要部署其他规则。 ...ESCAPEUNTRUSTEDDATABEFOREPUTTINGHERE... ...ESCAPEUNTRUSTEDDATABEFOREPUTTINGHERE... 以及其他的HTML常用元素 使用HTML实体解码躲开下列字符以避免切换到任何执行内容，如脚本、样式或者事件处理程序。在这种规格中推荐使用十六进制实体，除了XML中5个重要字符(、、 、 "、 ')外，还加入了斜线符，以帮助结束HTML实体。 -- -- -- "--" '--''isnotrecommended /--/forwardslashisincludedasithelpsendanHTMLentity ESAPI参考实施 Stringsafe=ESAPI.encoder().encodeForHTML(request.getParameter("input")); No.3 – 在向HTML常见属性插入不可信数据前进行属性解码 这条规则是将不可信数据转化为典型属性值(如宽度、名称、值等)，这不能用于复杂属性(如href、src、style或者其他事件处理程序)。这是及其重要的规则，事件处理器属性(为HTML JavaScript Data Values)必须遵守该规则。 contentinsideUNquotedattribute content insidesinglequotedattribute 除了字母数字字符外，使用小于256的ASCII值HH格式(或者命名的实体)对所有数据进行解码以防止切换属性。这条规则应用广泛的原因是因为开发者常常让属性保持未引用，正确引用的属性只能使用相应的引用进行解码。未引用属性可以被很多字符破坏，包括[space] % * + , - / ; = ^ 和 |。 ESAPI参考实施 String safe = ESAPI.encoder().encodeForHTMLAttribute( request.getParameter( "input" ) ); No.4 – 在向HTML JavaScript Data Values插入不可信数据前，进行JavaScript解码 这条规则涉及在不同HTML元素上制定的JavaScript事件处理器。向这些事件处理器放置不可信数据的唯一安全位置就是“data value”。在这些小代码块放置不可信数据是相当危险的，因为很容易切换到执行环境，因此请小心使用。
《忆江上吴处士》表达了诗人怎样的心境
贾岛《忆江上吴处士》
闽国扬帆去， 蟾蜍亏复圆。
秋风生渭水， 落叶满长安。
此地聚会夕， 当时雷雨寒。
兰桡殊未返， 消息海云端。
这首诗“秋风生渭水，落叶满长安”一联，是贾岛的名句，为后代不少名家引用。如宋代周邦彦《齐天乐》词中的“渭水西风，长安乱叶，空忆诗情宛转”，元代白朴《梧桐雨》杂剧中的“伤心故园，西风渭水，落日长安”，都是化用这两句名句而成的，可见其流传之广，影响之深。
诗是为忆念一位到福建一带去的姓吴的朋友而作。
开头说，朋友坐着船前去福建，很长时间了，却不见他的消息。
接着说自己居住的长安已是深秋时节。强劲的秋风从渭水那边吹来，长安落叶遍地，显出一派萧瑟的景象。
为什么要提到渭水呢？因为渭水就在长安郊外，是送客出发的地方。当日送朋友时，渭水还未有秋风；如今渭水吹着秋风，自然想起分别多时的朋友了。
此刻，诗人忆起和朋友在长安聚会的一段往事：“此地聚会夕，当时雷雨寒”——他那回在长安和这位姓吴的朋友聚首谈心，一直谈到很晚。外面忽然下了大雨，雷电交加，震耳炫目，使人感到一阵寒意。这情景还历历在目，一转眼就已是落叶满长安的深秋了。
结尾是一片忆念想望之情。“兰桡殊未返，消息海云端。”由于朋友坐的船还没见回来，自己也无从知道他的消息，只好遥望远天尽处的海云，希望从那儿得到吴处士的一些消息了。
这首诗中间四句言情谋篇都有特色。在感情上，既说出诗人在秋风中怀念朋友的凄冷心情，又忆念两人往昔过从之好；在章法上，既向上挽住了“蟾蜍亏复圆”，又向下引出了“兰桡殊未返”。其中“渭水”、“长安”两句，是此日长安之秋，是此际诗人之情；又在地域上映衬出“闽国”离长安之远（回应开头），以及“海云端”获得消息之不易（暗藏结尾）。细针密缕，处处见出诗人行文构思的缜密严谨。“秋风”二句先叙述离别处的景象，接着“此地”二句逆挽一笔，再倒叙昔日相会之乐，行文曲折，而且笔势也能提挈全诗。全诗把题目中的“忆”字反复勾勒，笔墨厚重饱满，是一首生动自然而又流畅的抒情佳品。
忆江上吴处士这首诗带拼音
闽国扬帆去，蟾蜍亏复圆。 （min guo yang fan qu ，chán chú xi fu yuan）
秋风生渭水，落叶满长安。 （qiu feng sheng wei shui ，luo ye man chang an）
此地聚会夕，当时雷雨寒。 （ci di jv hui xi ，dang shi lei yu han ）
兰桡殊未返，消息海云端。 （lan ráo shu wei fan ，xiao xi hai yun duan）
《忆江上吴处士》的意思
《忆江上吴处士》是中唐诗人贾岛所作的一首五言律诗，贾岛未中进士前在京城长安时结识了一个隐居不仕的朋友吴处士，后来吴处士离开长安到福建一带，贾岛很思念他，写了两首诗，这是其中的一首。全诗把题目中的“忆”字反复勾勒，笔墨厚重饱满，是一首生动自然而又流畅的抒情佳品。
