这是我参与「第五届青训营 」伴学笔记创作活动的第 十一 天

前端技术栈之WEB安全之旅 | 青训营笔记

攻击篇

安全问题“很常见”会危害

• 用户
• 公司
• 程序员 我们从两个角度来看WEB安全
• 作为一个hacker -- 攻击
• 作为一个开发者 -- 防御

XSS

XSS主要利用了

• 盲目信任用户提交的内容+伪代码而导致利益受损 XSS的一些特点
• 通常难以从UI上感知（暗地执行脚本）
• 窃取用户信息（cookie/token）
• 绘制UI（列入弹窗），诱导用户点击/填写表格

Stored XSS

• 恶意脚本被存在数据中
• 访问页面 ——> 读数据 ——> 被攻击
• 危害最大，对全部用户可见

Reflected XSS

• 不涉及数据库
• 从URL上攻击

Dom-based XSS

• 不需要服务器的参与
• 恶意攻击的发起+执行，全在浏览器完成

Mutation-based XSS

• 利用了浏览器渲染DOM的特性（独特优化）
• 不同浏览器，会有区别（安浏览器进行攻击）

Cross-site request forgery（CSRF）

• 在用户不知情的前提下
• 利用用户权限（cookie）
• 构造指定HTTP请求，窃取或修改用户敏感信息

SQL Injection

• 请求SQL参数（恶意注入）-＞server 参数 -＞ SQL-＞获取其他数据，修改数据，删除数据

Injection 不至于SQL

• CLI
• OS command
• Server-Side Request Forgery（SSRF），服务端伪造请求
  • 严格而言，SSRF不是injection，但是原理类似

Denial of Service（Dos）

通过某种方式（构造特定请求），导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压，进而雪崩效应。

Logical Dos

• 耗时的同步操作
• 数据库写入
• SQL join
• 文件备份
• 循环执行逻辑

DDOS

短时间内，来自大量僵尸设备的请求流量，服务器不能及时完成全部请求，导致请求堆积，进而雪崩效应，无法响应新请求。（不搞复杂的，量大就完事儿了）

攻击特点:

• 直接访问IP
• 任意API
• 消耗大量带宽（耗尽）

防御

SameSite VS CORS

SameSite:

• cookie 发送
• domain vs 页面域名
• "跟你说个事儿"出这个门可就不认了 CORS
• 资源读写（HTTP请求）
• 资源域名 VS 页面域名
• 白名单

Logical Dos

• 不是非黑即白
  • 有些 case ，只有在请求量大到一定成度之后，才会体现
• 分析代码中的性能瓶颈
  • 负载均衡
  • API 网关
  • CDN
• 快速自动扩容
• 非核心服务降级

笔记部分内容不太标准/不全望理解