Web安全|青训营笔记
这是我参与「第四届青训营 」笔记创作活动的的第1天。
笔记记录了今日课程「Web 开发的安全之旅」所学内容。
关于网络安全
受害者名单
- 用户
- 员工
- 程序员
与网络安全的关系
graph TD
hacker --> 攻击
程序员 --> 防御
XSS
攻击者通过给别人发送带有恶意脚本代码参数的URL，当URL地址被打开时，特有的恶意代码参数被HTML解析、执行，从而达到攻击目的（获取用户信息，侵犯隐私）
特点：
- 通常难以从UI上感知（暗地执行脚本）
- 窃取用户信息（cookie/token）
- 绘制UI（例如弹窗），诱骗用户点击/填写表单
CSRF(跨站请求伪造)
用户登录了某网站A，并在本地记录了cookie,在没有退出该网站时（cookie有效的时间内），攻击者发送引诱网站B，B要求访问A，从而达到获取用户隐私
特点：
- 在用户不知情的前提下
- 利用用户权限（cookie）
- 构造指定 HTTP 请求，窃取或修改用户敏感信息
SQL注入
程序没有有效的转义过滤用户的输入，使得攻击者成功向服务器提交恶意的SQL查询代码，使得程序将攻击者的输入作为查询语句一部分执行
特点：
- 在用户不知情的前提下
- 利用用户权限（cookie）
- 构造指定 HTTP 请求，窃取或修改用户敏感信息
命令行注入
指的是攻击者能够通过 HTTP 请求直接侵入主机，执行攻击者预设的 shell 命令这往往是 Web 开发者最容易忽视但是却是最危险的一个漏洞之一
DDos攻击
分布式拒绝服务，其原理就是利用大量的请求造成资源过载，导致服务不可用
网络层DDos
应用层DDos
特点
- 直接访问IP
- 任意API
- 消耗大量带宽
流量劫持
DNS劫持
DNS是将网络域名对应到真实计算机能够识别的IP地址，以便进一步通信。DNS劫持就是当用户通过某一个域名访问站点时，被篡改的DNS服务器返回的是一个钓鱼站点的IP，用户就被劫持到钓鱼网站，进而隐私泄露
HTTP劫持
HTTP劫持，当用户访问某个站点时会经过运营商网络，不法运营商和黑厂勾结能够截获请求返回内容，并且篡改内容，然后再返回给用户，从而实现劫持页面，轻则插入小广告，重则直接串改成钓鱼网站骗用户隐私
