这是我参与「第四届青训营」笔记创作活动的第2天

XSS

介绍：

XSS是跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。

特点：

通常难以从UI上感知（暗地执行脚本）
窃取用户信息（cookie/token）
绘制UI（例如弹窗），诱骗用户点击/填写表单

Stored XSS

恶意脚本被存在数据库中
访问页面->读数据≡被攻击
危害最大，对全部用户可见

Reflected XSS

不涉及数据库
从URL上攻击

DOM-based XSS

不需要服务器的参与
恶意攻击的发起+执行，全在浏览器完成

Mutation-based XSS

利用了浏览器渲染DOM的特性（独特优化）
不同浏览器，会有区别（按浏览器进行攻击）

防御：

永远不信任用户的提交内容
不要将用户提交的内容直接转换成DOM，而是要当成字符串对待

XSS---现成工具

前端

主流框架默认防御XSS
google-closure-library

服务端（Node）

DOMRurify

Cross-site request forgery(CSRF)

在用户不知情的前提下
利用用户的权限（cookie）
构造指定HTTP请求，窃取或修改用户敏感信息

防御

if 伪造请求≡异常来源 then 限制请求来源->限制伪造请求

Origin
同源请求中，GET+HEAD不发送
Referer

Distributed DoS(DDoS)

短时间内，来自大量僵尸设备的请求流量，服务器不能及时完成全部请求，导致请求堆积，进而雪崩效应，无法响应新请求

攻击特点

直接访问IP
任意API
消耗大量带宽（耗尽）

传输层

中间人攻击

特点

明文传输
信息篡改不可知
对方身份未验证

Same-origin Policy同源协议

协议
域名
端口三种相同才叫同源

Content Security Policy(CSP) 内容安全协议

哪些源（域名）被认为是安全的
来自安全源的脚本可以执行，否则直接抛错
对eval+inline script说no

Web开发的安全之旅|青训营笔记

XSS

介绍：

特点：