Web开发安全|青训营笔记

zyq努力每一天
47 阅读1分钟

这是我参与「第五届青训营 」伴学笔记创作活动的第十一天

课堂重点知识

  1. web安全——攻击

  2. web安全——防御

知识总结及实例

web安全——攻击

XSS攻击

image.png

  • XSS主要利用： 盲目信任用户的提交的内容
  • XSS的一些特点

image.png

  • XSS攻击方式
    • 存储性 XSS
    • 反射性 XSS （在服务器端注入脚本）
    • 基于dom XSS （在浏览器端注入脚本）
    • 基于Mutation XSS image.png

存储性XSS

image.png

反射性XSS

image.png

基于dom XSS

image.png

基于Mutation XSS

CSRF

  • CSRF攻击特点

image.png

  • CSRF demo

image.png

  • CSRF常见方式
    • GET请求及表单请求

SQL注入攻击

image.png

  • SQL注入 demo

image.png

image.png

image.png

image.png

DoS

image.png

  • DoS模式
    • 基于正则表达式的DoS
    • DDOS image.png

基于正则表达式的DoS

image.png

DDOS

#### 中间人攻击——传输层

image.png

web安全——防御

XSS

  • 思路 image.png
  • 现有工具

image.png

  • 必须动态生成dom
    • string->DOM （对string进行转义）
    • 上传svg （对svg文件进行扫描）
    • 尽量不要做让用户自定义行为（必须要做应过滤）

CSP

image.png

设置方式

image.png

CSRF

  • CSRF——同源策略 image.png

image.png

  • CSRF——token

image.png

  • CSRF——iframe

image.png

  • CSRF——反模式

image.png

  • SameSite Cookie

image.png

image.png

  • 特例 image.png
  • SameSite Cookie VS CORS

image.png

注入相关

image.png

  • 防御原则 image.png

Dos

image.png

DDoS

image.png

传输层——中间人攻击

image.png

  • HTTPS特性 image.png

个人总结

明确web安全的相关内容，对相关攻击方式进行了解并且进行相关防御。

avatar
文章
阅读
粉丝