首頁常見問題正文

要防止跨站攻擊,以下需要做的是什么?【網(wǎng)絡(luò)測(cè)試常見問題】

更新時(shí)間:2023-01-30 來源:黑馬程序員 瀏覽量:

IT培訓(xùn)班

  要防止跨站攻擊,以下需要做的是()。(選擇三項(xiàng))

  A.永遠(yuǎn)不要使用include和require引入靠用戶輸入決定路徑的文件(如include"$username/script.txt";)

  B.除非網(wǎng)站需要,否則關(guān)閉allow_url_fopen

  C.避免使用如curl這類用來打開遠(yuǎn)程連接的擴(kuò)展庫。

  D.使用類似strip_tags()一類的函數(shù)過濾一個(gè)用戶輸入給另一個(gè)用戶看的內(nèi)容

  E.以上都對(duì)

  答案:A、B、D。

  如果用戶通過篡改URL來修改$username變量,并且allow_url_fopen是打開的,那么PHP將會(huì)下載某臺(tái)非信任的遠(yuǎn)程服務(wù)器上的script.txt文件,并把它當(dāng)作本地PHP腳本來執(zhí)行。所以不要使用include和require的方式引用文件,也盡量關(guān)閉allow_url_fopen。所以,選項(xiàng)A選項(xiàng)B正確。

  對(duì)于選項(xiàng)C,如果需要在PHP中打開遠(yuǎn)程連接受信任的擴(kuò)展庫,則使用curl方法是可以的。所以,選項(xiàng)C錯(cuò)誤。

  對(duì)于選項(xiàng)D,一個(gè)用戶輸入的內(nèi)容給另一個(gè)用戶看時(shí)是需要使用strip_tags()函數(shù)過濾HTML標(biāo)簽的,有效防止造成跨站攻擊或者瀏覽器bug。所以,選項(xiàng)D正確。

  所以,本題的答案為A、B、D。

以下是黑馬程序員公開的幾套軟件測(cè)試教程,可以下載跟著學(xué)學(xué)習(xí),如果想轉(zhuǎn)到軟件測(cè)試行業(yè),找到軟件測(cè)試工作,推薦報(bào)班學(xué)習(xí)黑馬軟件測(cè)試課程



分享到:
在線咨詢 我要報(bào)名
和我們?cè)诰€交談!