关于Web开发安全知识

Y128
135 阅读9分钟

Web开发安全知识 | 青训营笔记

这是我参与[第四届青训营]笔记创作活动的第5天

在Web安全中，我们可以从两个角度来看，一个hacker在web安全中扮演的是一个攻击者的角色，而如果是一个开发者，那么就扮演的是一个防御者的角色，下面主要从攻击和防御两方面来介绍Web开发的安全性。

一、攻击篇

网络安全攻击方式有很多种，其中包括XSS攻击、SQL注入攻击、URL篡改等。下面详细了解一下xss攻击相关内容。

1.1 Cross-Site Scripting(xss)——什么是xss攻击？

XSS攻击又称为跨站脚本，XSS的重点不在于跨站点，而是在于脚本的执行。XSS是一种经常出现在Web应用程序中的计算机安全漏洞，是由于Web应用程序对用户的输入过滤不足而产生的，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、VBScript、ActiveX、Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。

1.2 xss攻击的特点

  1. 通常难以从UI上感知，也就是它会暗地执行脚本；
  2. 会窃取用户信息
  3. 绘制UI，诱骗用户点击/填写表单
    下面代码就是一个xss的demo
public async submit(ctx){
    const { content,id } = ctx.request.body;//未对content过滤
    await db.save({
      content,id
    });
}
public async render(ctx){
    const { content } = await.db.query({;
      id:ctx.query.id
    });
    ctx.body = `<div>${content}</div>`
}

fetch("/submit",{
  body:JSON.stringify({
    id:"l",
    content:`<script>alert("xss");</script>`
  });
});//可以直接提交恶意脚本

1.3 下面介绍xss的几种攻击类型

xss攻击有三种类型：反射性xss攻击、DOM-based型xss攻击、存储型xss攻击。\

  • Stored xss
    攻击者事先将恶意代码上传或者储存到漏洞服务器中，只要受害者浏览包含此恶意代码的页面就会执行恶意代码。这意味着只要访问了这个页面的访客，都有可能会执行这段恶意脚本，因此存储型XSS攻击的危害会更大。此类攻击一般出现在网站留言、评论、博客日志等交互处，恶意脚本存储到客户端或者服务端的数据库中。
  • Reflectd xss
    反射型XSS攻击一般是攻击者通过特定手法，诱使用户去访问一个包含恶意代码的URL，当受害者点击这些专门设计的链接的时候，恶意代码会直接在受害者主机上的浏览器执行。此类XSS攻击通常出现在网站的搜索栏、用户登录口等地方，常用来窃取客户端Cookies或进行钓鱼欺骗。
  • DOM-based xss
    客户端的脚本程序可以动态地检查和修改页面内容，而不依赖于服务器端的数据。例如客户端如从URL中提取数据并在本地执行，如果用户在客户端输入的数据包含了恶意的JavaScript脚本，而这些脚本没有经过适当的过滤或者消毒，那么应用程序就可能受到DOM-based型XSS攻击。
  • Mutation-based xss
    突变型XSS，也叫做mXSS或，全称Mutation-based Cross-Site-Scripting。如果用户所提供的富文本内容通过javascript代码进入innerHTML属性后，一些意外的变化会使得这个认定不再成立：浏览器的渲染引擎会将本来没有任何危害的HTML代码渲染成具有潜在危险的XSS攻击代码。随后，该段攻击代码，可能会被JS代码中的其它一些流程输出到DOM中或是其它方式被再次渲染，从而导致XSS的执行。 这种由于HTML内容进入innerHTML后发生意外变化，而最终导致XSS的攻击流程。
    攻击流程 ​ 将拼接的内容置于innerHTML这种操作，在现在的Web应用代码中十分常见，常见的WEB应用中很多都使用了innerHTML属性，这将会导致潜在的mXSS攻击。从浏览器角度来讲，mXSS对三大主流浏览器（IE，CHROME，FIREFOX）均有影响。

1.2.1 SQL注入攻击

SQL注入攻击是黑客对数据库进行攻击的常用手段之一。随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。

SQL注入攻击属于数据库安全的攻击手段之一，可以通过数据库安全防护技术实现有效防护，数据库安全防护技术包括：数据库漏扫、数据库加密、数据库防火墙、数据脱敏 SQL注入攻击会导致的数据库安全风险包括：刷库、拖库、撞库。

1.3.1 CSRF攻击

CSRF（Cross Site Request Forgery，跨站点请求伪造），攻击者通过跨站请求，以合法的用户身份进行非法操作，如转账交易、发表评论等。其核心是利用了浏览器Cookie或服务器的Session策略，盗取用户身份（如下图）。

v2-f1a1999bd1391a71b69c71f75863987a_r.jpg

（1） 用户登录受信任的服务器。
（2） 用户访问攻击者的服务器。
（3） 响应消息中保护访问受信任服务器的请求。
（4） 在用户不知情的情况下，执行来自攻击者的请求。

二、防御篇

2.1 XSS 攻击的防御
XSS防御的总体思路是：对输入(和URL参数)进行过滤，对输出进行编码。 也就是对提交的所有内容进行过滤，对url中的参数进行过滤，过滤掉会导致脚本执行的相关内容；然后对动态输出到页面的内容进行html编码，使脚本无法在浏览器中执行。虽然对输入过滤可以被绕过，但是也还是会拦截很大一部分的XSS攻击。
下面是几个具体的防御措施：
1、不要在允许位置插入不可信数据。
2、在向HTML元素内容插入不可信数据前对HTML解码。
3、在向HTML常见属性插入不可信数据前进行属性解码。
4、在向HTML JavaScript Data Values插入不可信数据前，进行JavaScript解码。
5、在向HTML 样式属性值插入不可信数据前，进行CSS解码。
6、在向HTML URL属性插入不可信数据前，进行URL解码。\

2.2 SQL注入攻击防御

SQL注入攻击的危害很大，而且防火墙很难对攻击行为进行拦截，主要的SQL注入攻击防范方法，具体有以下几个方面。
1、分级管理
对用户进行分级管理，严格控制用户的权限，对于普通用户，禁止给予数据库建立、删除、修改等相关权限，只有系统管理员才具有增、删、改、查的权限。
2、参数传值
程序员在书写SQL语言时，禁止将变量直接写入到SQL语句，必须通过设置相应的参数来传递相关的变量。从而抑制SQL注入。数据输入不能直接嵌入到查询语句中。同时要过滤输入的内容，过滤掉不安全的输入数据。或者采用参数传值的方式传递输入变量，这样可以最大程度防范SQL注入攻击。
3、基础过滤与二次过滤
SQL注入攻击前，入侵者通过修改参数提交and等特殊字符，判断是否存在漏洞，然后通过select、update等各种字符编写SQL注入语句。因此防范SQL注入要对用户输入进行检查，确保数据输入的安全性，在具体检查输入或提交的变量时，对于单引号、双引号、冒号等字符进行转换或者过滤，从而有效防止SQL注入。当然危险字符有很多，在获取用户输入提交参数时，首先要进行基础过滤，然后根据程序的功能及用户输入的可能性进行二次过滤，以确保系统的安全性。
4、使用安全参数
SQL数据库为了有效抑制SQL注入攻击的影响。在进行SQLServer数据库设计时设置了专门的SQL安全参数。在程序编写时应尽量使用安全参数来杜绝注入式攻击，从而确保系统的安全性。
5、漏洞扫描
为了更有效地防范SQL注入攻击，作为系统管理除了设置有效的防范措施，更应该及时发现系统存在SQL攻击安全漏洞。系统管理员可以采购一些SQL漏洞扫描工具，通过专业的扫描工具，可以及时的扫描到系统存在的相应漏洞。
6、多层验证
现在的网站系统功能越来越庞大复杂。为确保系统的安全，访问者的数据输入必须经过严格的验证才能进入系统，验证没通过的输入直接被拒绝访问数据库，并且向上层系统发出错误提示信息。同时在客户端访问程序中验证访问者的相关输入信息，从而更有效的防止简单的SQL注入。但是如果多层验证中的下层如果验证数据通过，那么绕过客户端的攻击者就能够随意访问系统。因此在进行多层验证时，要每个层次相互配合，只有在客户端和系统端都进行有效的验证防护，才能更好地防范SQL注入攻击。
7、数据库信息加密
传统的加解密方法大致分为三种：对称加密、非对称加密、不可逆加密。\

2.3 CSRF防御

（1） 表单token。在页面表单中增加一个随机数作为token，每次响应页面的token都不同，从正常页面提交的参数会包含token值，而攻击者伪造的请求是无法获得该值的。提交到服务器的时候，服务器检查该参数中token是否合法即可。
（2） 验证码。即在提交请求时，需要用户输入验证码，以避免在用户不知道的时候被攻击者伪造请求。
（3） Referer check。在HTTP的请求头的Referer域中记录着请求来源，可通过检查请求来源，判断其是否合法。

avatar
文章
阅读
粉丝