Nginx安全加固系列:防范XSS

XSS,就是跨站脚本攻击。就是浏览器渲染HTML的过程中,执行了不被预期的脚本指令,XSS就发生了。

所以,XSS就是一种HTML注入攻击,就是在我们的HTML页面上注入了恶意代码。最典型的就是在发表评论这些页面,在发表的文字内容里携带了恶意的HTML代码,例如在发表的内容里面携带了这么一段代码:

复制代码
<script>alert(document.cookie);</script>

如果不对用户发表的内容文字做安全扫描,那么上面的这段代码就成功嵌入到页面当中。当浏览器访问这个页面的时候,这段脚本也将被认为是页面的一部分,从而得到执行,就会弹出对话框显示浏览器的Cookie信息。

这就是XSS攻击的原理

防止XSS攻击需要做很多措施,Nginx添加响应头,是其中的一种措施,但这个并不代表能完全防止XSS攻击。

Nginx通过以下配置,可以添加防止XSS的响应头

复制代码
http {
  add_header X-XSS-Protection "1; mode=block";
}

解释一下这个配置, add_header是Nginx添加响应头的命令,X-XSS-Protection是防止XSS攻击的响应头,它有几个参数值:

复制代码
值 1 :启用XSS过滤器
值 0:禁用XSS过滤器

mode 参数可以配置过滤器行为。
block: 如果检测到XSS攻击,直接阻止页面加载。
report=<reporting-URI>: 如果检测到XSS攻击,将报告发送到指定的URI。

看一下百度,它也是配置了X-XSS-Protection响应标头

相关推荐
深盾安全3 小时前
ProGuard混淆在Android程序中的应用
安全
CYRUS_STUDIO3 小时前
利用 Linux 信号机制(SIGTRAP)实现 Android 下的反调试
android·安全·逆向
白帽黑客沐瑶8 小时前
【网络安全就业】信息安全专业的就业前景(非常详细)零基础入门到精通,收藏这篇就够了
网络·安全·web安全·计算机·程序员·编程·网络安全就业
深盾安全8 小时前
符号执行技术实践-求解程序密码
安全
雨落Liy9 小时前
Nginx 从入门到进阶:反向代理、负载均衡与高性能实战指南
运维·nginx·负载均衡
贾维思基9 小时前
被监管警告后,我连夜给系统上了“双保险”!
安全
Yyyy48210 小时前
Nginx负载均衡集群实验步骤
运维·nginx·负载均衡
00后程序员张10 小时前
iOS App 混淆与加固对比 源码混淆与ipa文件混淆的区别、iOS代码保护与应用安全场景最佳实践
android·安全·ios·小程序·uni-app·iphone·webview
Devil枫13 小时前
鸿蒙深链落地实战:从安全解析到异常兜底的全链路设计
安全·华为·harmonyos
lubiii_20 小时前
网络安全渗透测试第一步信息收集
安全·web安全·网络安全