这是我参与「第五届青训营」伴学笔记创作活动的第11天。今天开始了有关Web开发安全方面的学习。
攻击
XSS
- XSS是通过注入恶意脚本，在用户访问时攻击，使用户隐私泄露，或者用户机器被作为挖矿机器
- XSS利用了盲目信任用户提交的内容，将直接其转化为DOM
特征：
- 通常难以从UI上感知（暗地执行脚本）
- 窃取用户信息（cookie/token）
- 绘制UI（例如弹窗），诱骗用户点击/填写表单
分类：
- Stored XSS
- 恶意脚本被存在数据库中
- 当用户：访问页面 ->读数据 = 被攻击
- 危害最大，对全部用户可见
- Reflected XSS
- 不涉及数据库
- 从 URL 上攻击
- DOM-based XSS
- 不需要服务器的参与
- 恶意攻击的发起 + 执行，全在浏览器完成
与reflected XSS一样从URL上攻击，但执行环境不同，而且DOM-based XSS 是完全由浏览器这一侧来完成， Reflected XSS 是从Server端注入
- Mutation-based XSS（最难防御的一种方式）
- 利用了浏览器渲染 DOM 的特性（独特优化）
- 不同浏览器，会有区别（按浏览器进行攻击）
Cross-site request forgery(CSRF 跨站伪造请求)
特征：
- 在用户不知情的前提下
- 利用用户的权限(cookie)
- 构造指定 HTTP 请求，窃取或修改用户敏感信息
方式：
GET是最常见的方式，还可以通过构造一个method是POST表单的方式发起CSRF攻击
Injection
SQL Injection
- 读取请求字段
- 直接以字符串的形式拼接 SQL 语句
其他
- CLI（命令行）
- OS command（系统命令）
- Server-Side Request Forgery(SSRF) ，服务端伪造请求严格而言 SSRF 不是 injection，但是原理类似
Denial of Service(Dos)
通过某种方式（构造特定请求），导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压，进而雪崩效应。
- ReDos：基于正则表达式的 Dos
- Distributed Dos(DDoS)
- 中间人攻击方式(利用了明文传输、信息篡改不可知、对方身份未验证)
防御
XSS
- 永远不要信任用户提交内容
- 不要将用户提交内容直接转化为DOM
工具：
- 前端
- 主流框架默认防御 XSS
- google-closure-library
- 服务端（Node）
- DOMPurify
Content Security Policy（CSP）
- 哪些源（域名）被认为是安全的
- 来自安全源的脚本可以执行，否则直接抛错
- 对 eval + inline script(内联的script标签)直接拒绝
CSRF
- origin+referer(限制请求、进行校验）
- token(用户绑定、设置过期时间）
- iframe(DENY、SAMEORIGIN)
- anti-pattern(get与post分开)
- SameSite Cookie(限制domian与页面域名)
- 生成中间件
Injection
SQL:
- 找到项目中查询 SQL 的地方
- 使用 prepared statement
其他：
- 最小权限原则
- 建立白名单机制
- 针对 SSRF 攻击方式，对 URL 类型参数进行协议、域名、ip等限制
DOS:
ReDos
DDOS
中间人
- HTTPS（可靠性、完整性、不可抵赖：数字签名）
- HSTS（将HTTP主动升级为HTTPS）
个人小结
今天课堂涉及了极为重要的网络安全问题，对待网络安全问题我们要保持不断学习的态度，维护用户数据安全，让危机远离。
