Web开发的安全之旅 | 青训营笔记
这是我参与「第四届青训营 」笔记创作活动的的第3天。
一、攻击
1.1 Cross-Site Scripting（XSS）
最简单的攻击方式就是XSS（跨域脚本注入），也就是说：攻击方把恶意的脚本注入我们的网站进行活动。为什么他能够得手，是因为我们作为开发者盲目地信任了用户提交的内容、无法在UI上被感知到。
当用户上传东西的时候，可以上传一个带有
script标签的东西，根据功能不同，可以分为存储型、反射型（服务端注入）、基于DOM的XSS攻击（浏览器注入）和基于Mutation的XSS攻击。
主要是利用了
- 开发者盲目信任用户的提交内容
- 前端直接把string转化成dom
特点：
- 通常难以从UI 上感知(暗地执行脚本)
- 窃取用户信息(cookie/token)
- 绘制UI (例如弹窗) ，诱骗用户点击/填写表单
分类：
-
存储型XSS（Stored XSS）
- 恶意脚本被存在数据库中
- 访问页面 - > 读数据 == 被攻击
- 危害最大，对全部用户可见
-
Reflected XSS 反射型
- 不涉及数据库
- 从URL上攻击
- 例：前端读取url的时候读到了script标签
-
DOM-based XSS
- 不需要服务器的参与
- 恶意攻击的发起+执行，全在浏览器完成
Reflected vs DOM-based
-
完成注入脚本的地方不同
- Reflected在服务端，DOM-based在浏览器
- Reflected在服务端，DOM-based在浏览器
-
Mutation-based XSS（最难防御）
- 利用了浏览器渲染DOM的特性(独特优化)
- 不同浏览器，会有区别(按浏览器进行攻击)
1.2 跨站伪造请求Cross-site request forgery(CSRF)
顾名思义，就是利用了用户的数据伪造了请求，从而修改了用户的数据。
特点：
- 在用户不知情的前提下
- 利用用户权限(cookie)
- 构造指定HTTP请求，窃取或修改用户敏感信息
CSRF——GET 点击/图片加载完成就被攻击
CSRF——beyond GET
1.3 注入Injection
利用数据库的恶意注入，通过前端的脚本把用户输入的东西拼接成数据库语句。不过也可以在其他的地方注入，比如系统命令行注入等。
SQL注入：
例子1：攻击者的username设置为drop的sql语句
Injection不止于SQL
- CLI 命令行
- OS command 系统命令
- Server-Side Request Forgery(SSRF),服务端伪造请求
- 严格而言，SSRF不是injection, 但是原理类似
例子2：
执行：传入系统删除命令
读取 + 修改：（把流量大的社交网站的流量 转到 竞争对手的网站）
例：SSRF
1.4 服务拒绝 Denial of Service（Dos）
通过某种方式(构造特定请求)，导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压，进而雪崩效应。
- ReDoS:基于正则表达式的DoS
1.5 Distributed DoS(DDoS)（最常见的）
短时间内，来自大量僵尸设备的请求流量，服务器不能及时完成全部请求，导致请求堆积，消耗服务器的带宽，进而雪崩效应，无法响应新请求。
「不搞复杂的，量大就完事儿了」
特点
- 直接访问IP
- 任意API
- 消耗大量带宽(耗尽)
例子：洪水攻击（SYN Flood）TCP三次握手
