本文目录一览：
- 1、网页经常被插入js代码，有什么方法可以解决的..
- 2、网站被人挂的JS木马，怎么办？
- 3、在客户端输入 js 脚本 是什么漏洞
- 4、如何防止javascript注入攻击
- 5、Node.js 这个反序列化的漏洞到底有多大
网页经常被插入js代码，有什么方法可以解决的..
1、说明你的网页存在漏洞，有人利用你的漏洞修改了你的网页。
2、也有可能是你的服务器有其他漏洞，已经是别人的肉鸡了。
3、ARP病毒也能在网页中注入代码，但不影响服务器上的源代码。
如果是第一种情况，推荐你用Acunetix
Web
Vulnerability
Scanner软件对你的网站进行安全检测，可以根据检测的结果和修改建议对代码进行修改。
网站被人挂的JS木马，怎么办？
在程序中很容易找到挂马的代码，直接删除，或则将你没有传服务器的源程序覆盖一次但反反复复被挂就得深入解决掉此问题了。但这不是最好的解决办法。最好的方法还是找专业做安全的来帮你解决掉
1.删除JS里的混迹加密代码，并做下JS目录的权限为只读权限。
为何网站JS内容被篡改，应该是网站存在漏洞。
2、 网站代码漏洞，这需要有安全意识的程序员才能修复得了，通常是在出现被挂 马以后才知道要针对哪方面入手修复；
3、也可以通过安全公司来解决，国内也就Sinesafe和绿盟等安全公司比较专业.
在客户端输入 js 脚本 是什么漏洞
就是用户在客户端输入了js代码，比如：
在商品的搜索界面，记录用户的搜索历史时。用户搜索什么，在页面的下面就会显示搜索的历史。如果用户在这个搜索框里面输入的是js代码，那它就会在程序内部执行，从而照成漏洞。
比如：在输入框中输入:img src="" onerror="alert('我利用了搜索的漏洞,成功alert了出来');"/。
在用户点击搜索时，这个img里面的alert就会执行。至于它为什么会执行呢？
首先，用户输入的是一个img标签，注意这个img标签的src是""的，那这个img就不会正常加载出来图片，所以就会error，而在img里面，恰恰写了onerror方法，当图片加载error后，就会执行error方法，所以就照成了漏洞..
如何防止javascript注入攻击
很多网站都有私信或者留言板功能。登录用户可以发表评论或者给其他用户(包括管理员)发送私信。一个最简单的模拟表单如下:
form action="sendmessage.php" method="post'"
textarea name="message" /textarea
input type="submit" value="send" /
/form
当用户点击发送时，这条消息会被保存在数据库中指定的数据表中，另一个用户当打开这条消息的时候将看到发送的内容。但是，如果一个恶意攻击者发送的内容包含了一些javascript代码，这些代码用于偷取敏感的cookie信息。当用户打开看到这条消息的时候，恶意的javascript代码就会得到执行，造成敏感cookie信息泄漏。攻击者可以利用获得这些cookie信息进行session hijacking会话劫持，直接以合法用户的身份登录其他用户的账户。
恶意攻击者可以在消息框中加入一下javascript代码:
Node.js 这个反序列化的漏洞到底有多大
反序列化顾名思义就是用二进制的形式来生成文件，由于common-collections.jar几乎在所有项目里都会被用到，所以当这个漏洞被发现并在这个jar包内实现攻击时，几乎影响了一大批的项目，weblogic的中枪立刻提升了这个漏洞的等级（对weblogic不熟悉的可以百度）。
至于如何使用这个漏洞对系统发起攻击，举一个简单的例子，我通过本地java程序将一个带有后门漏洞的jsp（一般来说这个jsp里的代码会是文件上传和网页版的SHELL）序列化，将序列化后的二进制流发送给有这个漏洞的服务器，服务器会自动根据流反序列化的结果生成文件，然后就可以大摇大摆的直接访问这个生成的JSP文件把服务器当后花园了。
如果Java应用对用户输入，即不可信数据做了反序列化处理，那么攻击者可以通过构造恶意输入，让反序列化产生非预期的对象，非预期的对象在产生过程中就有可能带来任意代码执行。
所以这个问题的根源在于类ObjectInputStream在反序列化时，没有对生成的对象的类型做限制；假若反序列化可以设置Java类型的白名单，那么问题的影响就小了很多。
