Nginx安全加固系列:防范XSS

XSS,就是跨站脚本攻击。就是浏览器渲染HTML的过程中,执行了不被预期的脚本指令,XSS就发生了。

所以,XSS就是一种HTML注入攻击,就是在我们的HTML页面上注入了恶意代码。最典型的就是在发表评论这些页面,在发表的文字内容里携带了恶意的HTML代码,例如在发表的内容里面携带了这么一段代码:

复制代码
<script>alert(document.cookie);</script>

如果不对用户发表的内容文字做安全扫描,那么上面的这段代码就成功嵌入到页面当中。当浏览器访问这个页面的时候,这段脚本也将被认为是页面的一部分,从而得到执行,就会弹出对话框显示浏览器的Cookie信息。

这就是XSS攻击的原理

防止XSS攻击需要做很多措施,Nginx添加响应头,是其中的一种措施,但这个并不代表能完全防止XSS攻击。

Nginx通过以下配置,可以添加防止XSS的响应头

复制代码
http {
  add_header X-XSS-Protection "1; mode=block";
}

解释一下这个配置, add_header是Nginx添加响应头的命令,X-XSS-Protection是防止XSS攻击的响应头,它有几个参数值:

复制代码
值 1 :启用XSS过滤器
值 0:禁用XSS过滤器

mode 参数可以配置过滤器行为。
block: 如果检测到XSS攻击,直接阻止页面加载。
report=<reporting-URI>: 如果检测到XSS攻击,将报告发送到指定的URI。

看一下百度,它也是配置了X-XSS-Protection响应标头

相关推荐
芯盾时代1 小时前
安全大模型智驱网络和数据安全效能跃迁
网络·人工智能·安全·网络安全
思通数科大数据舆情2 小时前
工业安全零事故的智能守护者:一体化AI智能安防平台
人工智能·安全·目标检测·计算机视觉·目标跟踪·数据挖掘·知识图谱
dalerkd5 小时前
企业产品网络安全日志6月10日-WAF资费消耗排查
网络·安全·web安全
Gold Steps.6 小时前
JumpServer:解锁运维安全的数字 “钥匙”
运维·安全·jumpserver
云布道师7 小时前
云服务运行安全创新标杆:阿里云飞天洛神云网络子系统“齐天”再次斩获奖项
网络·人工智能·安全·阿里云·云计算·云布道师
Smile_Gently8 小时前
基于服务器使用 apt 安装、配置 Nginx
nginx·ubuntu·debian
慈云数据8 小时前
从零搭建高性能企业级网站:Nginx + PHP-FPM 实战,全程用慈云数据服务器加持
服务器·nginx·php
KKKlucifer8 小时前
从被动响应到主动免疫:运营商行业内生安全防御系统建设
安全
马丁的代码日记8 小时前
智能合约安全专题(一):什么是重入攻击?——从 DAO 事件谈起
安全·区块链·智能合约
Digitally9 小时前
如何安全地准备 iPhone 以旧换新(分步说明)
安全·ios·iphone