Web开发的安全之旅 | 青训营笔记

msdest
59 阅读4分钟

这是我参与「第五届青训营 」笔记创作活动的第11天

一、本堂课重点内容：

  1. Cross-Site Scripting(XSS)
  2. Cross-site request forgery(CSRF)
  3. Injection
  4. Denial of Service(DoS)
  5. Distributed DoS(DDoS)
  6. 中间人攻击
  7. XSS 的防御
  8. 防御 CSRF 的正确姿势
  9. 防御 DoS
  10. 防御 Injection
  11. 防御中间人

二、详细知识点介绍：

1. 攻击篇

  1. Cross-Site Scripting(XSS)

即跨站脚本攻击，攻击者通过某种方式将恶意脚本注入在代码中，来达到攻击的目的。

可能会导致用户隐私泄露，或者不法者利用用户设备挖矿。

XSS主要利用了盲目信任用户的提交内容来实现攻击。

特点：

  • 通常难以从UT上感知（暗地执行脚本)
  • 窃取用户信息(cookie/token)
  • 绘制UI(例如弹窗)，诱骗用户点击/填写表单

Stored XSS

  • 恶意脚本被存在数据库中
  • 访问页面 -> 读数据 ===被攻击
  • 危害最大，对全部用户可见

Reflected XSS

  • 不涉及数据库
  • 从URL上攻击

DOM-based XSS

  • 不需要服务器的参与
  • 恶意攻击的发起 + 执行，全在浏览器完成

Mutation-based XSS

  • 利用了浏览器渲染DOM的特性(独特优化)
  • 不同浏览器，会有区别(按浏览器进行攻击)
  1. Cross-site request forgery(CSRF)
  • 在用户不知情的前提下
  • 利用用户权限(cookie)
  • 构造指定HTTP请求,窃取或修改用户敏感信息
  1. Injection

SQL Injection

image.png

Injection不止于SQL

  • CLI
  • OS command
  • Server-Side Request Forgery(SSRF),服务端伪造请求
    • 严格而言,SSRF不少injection,但是原理类似
  1. Denial of Service(DoS)

通过某种方式(构造特定请求),导致服务器资源被显著消耗,来不及响应更多请求,导致请求挤压,进而雪崩效应。

  1. ReDos：基于正则表达式的Dos

通过不断请求来增加响应时间，降低接口吞吐量。

  1. Distributed Dos(DDoS)

短时间内，来自大量僵尸设备的请求流量，服务器不能及时完成全部请求，导致请求堆积，进而雪崩效应，无法响应请求。

  1. Logical Dos
  • 耗时的同步操作
  • 数据库写入
  • SQL join
  • 文件备份
  • 循环执行逻辑
  1. 中间人攻击

image.png

2. 防御篇

  1. 对XSS的防御
  • 永远不信任用户的提交内容
    • 不要将用户提交内容直接转换成DOM

现成工具：

前端

  • 主流框架默认防御 XSS
  • google-closure-library

服务端(Node)

  • DOMPurify

插叙：Same-origin Policy

HTTP请求：同源可行，但是跨域则要经过服务器的允许

Content Security Policy(CSP)

  • 哪些源(域名被认为是安全的)
  • 来自安全源的脚本可以执行,否则直接抛错
  • 对eval + inline script说 NO
  1. 对CSRF的防御

image.png

image.png

image.png

image.png CSRF anti-pattern:GET !== GET + POST

避免用户信息被携带：SameSite Cookie

image.png

image.png

  • 依赖Cookie的第三方服务怎么办？
    • 内嵌一个X站播放器，识别不了用户登录态，发不了弹幕

SameSite vs CORS

  • SameSite
    • Cookie
    • domain vs 页面域名
    • "我跟你说个事儿，出这屋我可就不认了"
  • CORS
    • 资源读写(HTTP请求)
    • 资源域名 vs 页面域名
    • 白名单
  1. 防御injection
  • 找到项目中查询SQL的地方
  • 使用prepared statement

injection beyond SQL：

  • 最小权限原则
    • sudo || root
  • 建立允许名单 + 过滤
    • rm
  • 对URL类型参数进行协议、域名、ip等限制
    • 访问内网
  1. 防御DoS

Regex DoS

  • Code Review( X /(ab*+))
  • 代码扫描 + 正则性能测试
  • X 用户提供的使用正则

DDoS

  • 流量治理
    • 负载均衡
    • API 网关
    • CDN
  • 快速自动扩容
  • 非核心服务加纳估计 （前两个为过滤，后三个为抗量）
  1. 传输层————防御中间人

image.png

HTTPS的一些特性

  • 可靠性：加密
  • 完整性：MAC验证
  • 不可抵赖性：数字签名

三、课后个人总结：

  • 这堂课介绍了Web开发中应当注意的一些安全问题，通俗易懂，能够很快的建立起在Web开发中的一个安全意识，而这对我帮助很大。
  • Web开发有天然的开源性和开放性，而这也意味着Web开发更容易受到攻击，也更需要应对这些攻击的意识和方法。
avatar
文章
阅读
粉丝