Web开发安全 | 青训营笔记

这是我参与「第五届青训营 」伴学笔记创作活动的第 11 天。Web安全问题是一种比较“常见”的，可能一个小小的网络漏洞会造成比较严重的损失。

1、攻击者

1、Cross-Site Scripting(XSS)——通过往网页中植入恶意的脚本文件

• XSS特点：

1. 通常难以从UI感知（暗地执行脚本文件）
2. 窃取用户信息（cookie|token）
3. 绘制UI(如弹窗)，诱骗用户点击| 填写表单

主要利用：开发者盲目信任用户提交的内容或直接提交用户的填写的数据

xss的方式又有Stored XSS(恶意脚本被存在数据库中，访问页面时被攻击，危害最严重) Reflect XSS(不涉及数据库从URL上攻击，点击URL后可能会将恶意脚本写入) Mutation-based XSS(利用浏览器渲染DOM的特性)

2、Cross-site rquest forgery（CSRF）

思路：在用户不知情的前提下利用用户权限(cookie)构造HTTP请求，窃取或修改用户敏感信息

可以通过构造GET和POST等请求

3、Injection(注入)

• SQL注入

思路：攻击者在SQL参数上携带某些恶意注入的参数，SQL携带参数到请求上，服务器执行恶意注入的代码后可能会导致修改数据、删除数据等恶意的操作。

• 其他注入：

1. CLl
2. OS command
3. SSRF

4、Denial of Service(DOS)

思路: 通过某种方式(如：构造特定请求),导致服务器资源被显著消耗，进而导致请求挤压，引发“雪崩效应”。

• ReDOS——基于贪婪模式的正则表达式

• DDOS

短时间内，大量僵尸设备的请求流量，服务器不能及时完成全部请求，导致请求堆积，进而引发“雪崩效应”

特点：

1. 直接访问 IP

2. 任意API

3. 消耗大量带宽

5、中间人攻击

2、防御者

• 防御XSS

永远不信任用户提交的内容、不要直接将用户提交的内容转换成DOM

1. 前端：主流框架默认防御XSS、google-closure-library
2. 服务器端：DOMPurify

• 防御CSRF：

思路：判断请求是否是合法的请求

• 防御Injection：

1. SQL注入：找到项目中查询SQL的地方，使用prepared statement

2. 其他注入：

• 防御DOS：避免写出贪婪模式的正则表达式

• 防御中间人：尽量确保双方的身份