这是我参与「第五届青训营 」伴学笔记创作活动的第 11 天
XSS特点
通常难以从UI上感知(暗地执行脚本)
窃取用户信息(cookie/token)
绘制UI(例如弹窗)，诱骗用户点击/填写表单
Stored XSS
恶意脚本被存在数据库中
访问页面 => 读数据 === 被攻击
危害最大，对全部用户可见
Reflected XSS
不涉及数据库
从URL上攻击
DOM-based XSS
不需要服务器的参与
恶意攻击的发起 + 执行， 全在浏览器完成
Mutation-based XSS
利用了浏览器渲染DOM的特性(独特优化)
不同的浏览器，会有区别(按浏览器进行攻击)
Cross-site request forgery(CSRF)
在用户不知情的前提下
利用用户权限(cookie)
构造指定HTTP请求，窃取或修改用户敏感信息
Denial of Services(DoS)
通过某种方式(构造特定请求)，导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压，进而雪崩效应
Logical DoS
耗时的同步操作
数据库写入
SQL join
文件备份
循环执行逻辑
XSS-防御工具
前端：主流框架默认防御XSS；google-closure-library
服务端(Node)：DOMPurify
Content Security Policy(CSP)
哪些源(域名)被认为是安全的
来自安全源的脚本可以执行，否则直接抛错
对eval + inLine script拒绝
SameSite
Cookie发送
domain vs 页面域名
CORS
资源读写(HTTP请求)
资源域名 vs 页面域名
白名单
Injection beyond SQL
最小权限原则
建立允许名单 + 过滤
对URL类型参数进行协议、域名、ip等限制
SRI-demo
标签hash(原始内容hash) vs 实际内容hash
总结
安全无小事
最常见的就是XSS和CSRF攻击了
使用的依赖(npm package， 甚至是NodeJS)可能成为最薄弱的一环。left-pad事件；eslint-scope事件；event-stream事件。
保持学习的心态，办法总比困难多
加油，奥力给！
