这是我参与「第四届青训营 」笔记创作活动的的第6天
两个角度看web安全
- 假如你是一个hacker--攻击
- 假如你是一个开发者--防御
攻击篇
Cross-Site Scription(XSS)
XSS主要利用了
XSS的一些特点
XSS Demo
可以直接提交恶意脚本
Stored XSS
Reflected XSS
Reflected XSS Demo
DOM-based XSS
DOM-based XSS Demo
Reflected vs DOM-based
Mutation-based XSS
Cross-site request forgery(CSRF)
CSRF Demo
SQL Injection
Injection不止于SQL
- CLI
- OS command
- Server-Side Request Forgery(SSRF),服务端伪造请求
- 严格而言，SSRF不是injection，但是原理类似
Denial of Service(Dos)
通过某种方式（构造特定请求），导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压。进而雪崩效应。
插播：正则表达式--贪婪模式
Logical Dos
Logical Dos Demo
Distributed Dos(DDos)
短时间内，来自大量僵尸设备的请求流量，服务器不能及时完成全部请求，导致请求堆积，进而雪崩效应，无法响应新请求。 【不搞复杂的，量大就完事儿了】
DDos
攻击特点：
- 直接访问 IP
- 任意 API
- 消耗大量带宽（耗尽）
DDos Demo
中间人攻击
防御篇
XSS
XSS--现成工具
前端：
- 主流框架默认防御 XSS
- google-closure-library 服务端（Node）
- DOMPurify
插播：Same-origin Policy
Content Security Policy(CSP)
CSP
CSRF的防御
CSRF--token
CSRF--iframe 攻击
SameSite Cookie
- 依赖 Cookie 的第三方服务怎么办？
- 内嵌一个 X 站播放器，识别不了用户登陆态，发不了弹幕
SameSite vs CORS
SameSite Cookie
防御 CSRF 的正确姿势
Case by case防御？
Injection
- 找到项目中查询 SQL 的地方
- 使用 prepared statement
Injection beyond SQL
Regex Dos
Logical Dos
DDos
传输层--防御中间人
HTTPS的一些特性
- 可靠性：加密
- 完整性：MAC 验证
- 不可抵赖性：数字签名
HTTPS--完整性
插播：数字签名
HTTPS--不可抵赖：数字签名
HTTP Strict-Transport-Security(HSTS)
尾声
- 安全无小事
- 使用的依赖（npm package，甚至是NodeJS）可能成为最薄弱的一环
- left-pad事件
- eslint-scope事件
- event-stream事件 npm install除了带来了黑洞，还可以带来漏洞
