如何在Web表单中停止数据注入？

Question

我有一个网页,其中有多个页面都有html表单.但是我受到了不属于该领域的奇怪数据的轰炸.例:

\'\"><svg/onload=(new(Image)).src=\'//rytk88vs0h2tc4yierrvrpgr2i8lwdm1eo8cx\\56burpcollaborator.net\

但这应该是一个

<select><option></option></select>

它不是文本输入字段.那么这个人如何提交奇怪的代码呢？我怎么能阻止这个？

Answer 1

\'\"><svg/onload=(new(Image)).src=\'//rytk88vs0h2tc4yierrvrpgr2i8lwdm1eo8cx\\56burpcollaborator.net\

这是对XSS攻击的尝试.

那么这个人如何提交奇怪的代码呢？

1. 表单描述用户界面.
2. 浏览器构造该UI并将其呈现给用户
3. 用户在表单中输入数据
4. 浏览器获取该数据并将其格式化为HTTP请求

... 但没有什么能阻止某人使用其他方法构建HTTP请求并将其发送到您的服务器.

我怎么能阻止这个？

您无法控制人们发送到您服务器的内容.

您只能采取措施防止其有害.

有很多关于如何防御SQL注入,XSS和CSRF(这是最常见的攻击)的文档.