标签： 跨站脚本

这种利用类型的攻击早在06年就被安全研究人员指出，不过一直没有在国内重视。而由于我们国内大部分站点正是这种有漏洞的字符集，所以影响还是比较大，希望各大站快速修复。

人民网北京7月7日电（记者赵艳红）记者今日从北京警方获悉，7月1日，恶意破坏新浪微博的犯罪嫌疑人罗某被警方刑事拘留。6月29日，新浪公司报警称，其新浪微博平台大量微博用户转发同一私信，数量持续增长，疑似遭到恶意破坏，带有恶意网址链接的信息大面积传播，短时间内新浪微博用户感染量达到6.9万余个，恶意网址链接转发40余万次，造成公司大量经济损失。

　　1、引言

　　跨站点请求伪造（Cross—Site Request Forgery）。以下简称CSRF。是一种广泛存在的网站漏洞。Gmail、YouTube等着名网站都有过CSRF漏洞。甚至包括“ING DIRECT”这样的荚国第四大储蓄银行的金融机构网站。2009年3月着名网络安全机构SANS与MITRE结合来自全球超过30个软件工作者及安全专家，将CSRF列为最危险的25个编程错误之一。

　　2、现有的Web安全缺陷

　　2.1 Web安全策略

　　与CSRF有关的主要有三个Web安全策略：同源策略、Cookie安全策略和Flash安全策略。
...

　　前几天游侠（https://www.youxia.org）曾经在博客提到，说外交部的网站有跨站脚本漏洞（原文链接：[中国人民共和国外交部网站的一个跨站漏洞]，然后从外交部网站找到管理员的邮箱发了一封邮件，今天得到了回复。

　　信中说此XSS/CSS问题已经修复，上去看看，依然提交以前的测试语句：

　　可以看到，的确已经修复了。外交部网站管理员的效率还是比较高的。
　　我说：得到了外交部网站工作人员的表扬；哥们说：得强调下，是书面表扬 🙂
　　对外交部网站工作人员的态度表示赞赏，要知道：以前经常发现网站有漏洞，写个木马过去，然后给管理员发邮件说网站存在漏洞，是否需要帮助？人家都不鸟你……除非哪天网站彻底挂掉……