1. 首頁
  2. 問答
  3. 如何防止潛在的XSS

如何防止潛在的XSS

2012-06-01 71 views
0

我在閱讀有關XSS，我發現檢查IP和用戶代理是防止cookie被盜用的好方法。我在SO上進行了測試，發現SO在更改其IP或用戶代理後沒有註銷人員，但是當我複製所有標題並使用其他程序將它們發送到SO時，它將我發送出去。當IP和用戶代理不重要並且所有http標頭都相同時，它如何檢測到有所不同？如何防止潛在的XSS

來源

2012-06-01 undone

+0

移動用戶的IP地址在會話期間可能會因爲他們在街上行駛而改變。我不確定我會推薦使用它作爲防止會話劫持的一個因素。如果你有一個可靠的ISP查詢數據庫，改變ISP可能被認爲是一個更好的指示，但即便如此，有人把他們的iPhone從辦公室下到星巴克也可能觸發這種情況。 –

+0

@EricJ。謝謝，我沒想到:-) – undone

回答

1

SE例如使用更多方式驗證。 SE將象Cookie這樣的標記作爲離線數據保存在子域中，並將其發送到在某種方式上驗證數據的服務器。比你得到一個臨時令牌發送到登錄網站，你將會登錄。

我希望有幫助。

來源

2012-06-01 04:29:24 rekire

+0

我沒有明白。當所有標題與原始標題相同時，它如何檢測到我是其他人？ – undone

+0

其他檢查可能完成，例如，第二個隱藏的令牌。我的意思是我可以看到，雖然登錄過程中使用函數讀取令牌，但我無法將其降低。不知道爲什麼我不能*竊取*會話。但是，無論如何，嘗試防止任何xss thrue解析來自web的所有內容是更好的主意。 – rekire

相關問題

 相關問題