XSS攻击防范

　　XSS(跨站脚本)攻击的本质是恶意攻击者向Web页面或URL中插入恶意脚本，当用户浏览该页时，嵌入其中的恶意脚本会被执行，从而达到恶意攻击用户的特殊目的。

　　常用的源程序级防范XSS攻击的技术有：

　　(1)与SQL注入防范的建议类似，对所有输入中的script、iframe等关键字进行严格的检查。这些输入包括用户可以直接与之交互的输入接口，URL中的参数，HTTP请求Cookie中的变量，HTTP请求头部中的变量等；

　　(2)验证数据的类型、格式、长度、范围和内容等；

　　(3)在客户端和服务器端同时做数据的验证与过滤，使得客户端验证被绕过时，验证与过滤机制依然有效；

　　(4)无论输入时是否做了编码等操作，输出时都要对输出数据进行检查；

　　(5)使用黑盒Web应用测试工具及白盒漏洞扫描工具对源程序进行检测。

　　以上方法主要针对源程序进行XSS攻击的防范，对于已经部署的Web应用程序主要的防范措施有：

　　(1)客户端防范：在客户端增加脚本审查机制；在客户端增加Web-proxy转发所有的流量，相当于一个应用层防火墙。现在IE8中已经推出防跨站脚本漏洞的功能。这种客户端防范的方法往往需要在客户端安装更新或者额外的软件，实施起来不太方便；

　　(2)服务器端防范：除了源程序级的防范技术和在客户端及服务器端之间增加应用防火墙外，Peter Wurzinger等人提出在反向代理服务器上对Web应用的响应进行脚本检测，如发现异常脚本则提示客户端或简单的对异常脚本进行删除；

　　(3)用户自身防范：除了存储型XSS攻击外，其他的XSS攻击往往需要攻击者诱骗用户点击精心构造的URL。因此，用户(特别是网站管理员)需要提高自己的安全意识，拒绝点击那些陌生或不可信站点的链接。

　　其他安全防护措施

　　为了防范“认证和会话管理失效”，需要开发一套统一的认证和会话管理机制，同时对Web服务器相关功能进行正确合理的配置。

　　为了防范“网页篡改攻击”，可以采用专业的网页防篡改系统，当前主流的防篡改软件都采用基于底层文件过滤驱动技术和事件触发方式相结合的第三代防窜改技术，实时监测网站文件夹内容，拦截非法的增、删、改等操作，使用户无法看到被篡改的页面。

　　对于挂马等恶意网站，蜜网项目组的高交互蜜罐技术可以有效地对恶意代码进行检测，它通过虚拟机里真实的浏览器等客户端与恶意网页进行交互，根据事先定义好的白名单等规则以及与网页交互后系统的各项状态来判断网页是否是恶意的。

　　4、网站安全管理

　　除了技术层次的安全防护外，网站的安全管理也是必不可少的环节。首先，在人员保障方面，需要配备专业的技术人才从事网站安全管理工作，负责网络、操作系统、Web服务器的安全配置；同时，制定用户使用网络资源的规章制度、机房管理制度，明确系统管理员、网络管理员及运行维护人员的相关权限，建立值班制度、密码管理制度等，制定计算机病毒预报制度和安全漏洞预报制度，建立病毒、安全应急响应及处置预案，制定安全日志管理制度等；最后，要定期对网站管理人员等进行培训，提高人员的安全防范意识和技术水平，增强人员的责任感和防范各种社会工程学攻击的能力。

　　网站安全是一个相对的概念，网站的绝对安全是不存在，合理有效地运用各种安全防范措施可以最大程度地保障网站的正常稳定运行。

　　(作者单位为郑州大学河南省教育科研网网络中心)