这是我参与「第四届青训营 」笔记创作活动的第5天。
1. 安全问题“很常见”，会危害
- 用户
- 公司
- 程序员（祭天）
2. 两个角度看web安全
- 假如你是一个hacker一一攻击
- 假如你是一个开发者一一防御
3. XSS的一些特点
- 通常难以从UI上感知（暗地执行脚本）
- 窃取用户信息(cookie/token)
- 绘制UI（例如弹窗），诱骗用户点击/填写表单
4. Stored XSS
- 恶意脚本被存在数据库中
- 访问页面→读数据→被攻击
- 危害最大，对全部用户可见
5. Reflected XSS
- 不涉及数据库
- 从URL上攻击
6. DOM-based XSS
- 需要服务器的参与
- 恶意攻击的发起 + 执行，全在浏览器完成
7. Mutation-based XSS
- 利用了浏览器渲染D0M的特性（独特优化）
- 不同浏览器，会有区别（按浏览器进行攻击）
8. Cross-site request forgery(CSRF)
- 在用户不知情的前提下
- 利用用户权限(cookie)
- 构造指定HTTP请求，窃取或修改用户敏感信息
9. SQL Injection
- 请求
- SQL参数（恶意注入）
- Server
- 参数->SQL
- 运行SQL code
- 行为
- 获取其他数据
- 修改数据
- 删除数据
- ......
10. Injection不止于SQL
- CLI
- OS command
- Server-Side Request Forgery(SSRF)，服务端伪造请求
- 严格而言，SSRF不是injection，但是原理类似
11. Denial of Service(DoS)
- 通过某种方式（构造特定请求），导致服务器资源被显著消耗 来不及响应更多请求，导致请求挤压，进而雪崩效应。
12. Distributed DoS(DDoS)
- 短时间内，来自大量僵尸设备的请求流量，服务器不能及时完成 全部请求，导致请求堆积，进而雪崩效应，无法响应新请求。
「不搞复杂的，量大就完事儿了」
13. XSS防御
- 永远不信任用户的提交内容
- 不要将用户提交内容直接转换成D0M
- 前端
- 主流框架默认防御XSS
- google-closure-library
- 服务端(Node)
- DOMPurify
14. SameSite vs CORS
15. 尾声
- 安全无小事
- 使用的依赖(npm package,甚至是NodeJS)可能成为最薄弱的一环
- Ieft-pad事件
- eslint-scope事件
- event-stream事件
- 保持学习心态
npm install除了带来了黑洞，还可以带来漏洞⊙⊙
