这是我参与[第五届青训营]笔记创作活动的第十一天

本课堂重点内容：

• Cross-Site Scripting(XSS)
• Cross-Site request forgery(CSRF)
• Injection
• Denial of Service(Dos)
• Distributed Dos(DDos)
• 中间人攻击
• XSS 防御
• CSRF 防御
• Dos 防御
• Injection 防御
• 中间人 防御

详细知识点介绍：

XSS：

原理：

主要利用盲目的信任用户提交的内容 + 伪代码

特点：

• 通常难以从 UI 上感知，暗中执行脚本
• 窃取用户信息，如cookie/token
• 绘制 UI，诱骗用户点击/填写表单

demo：

Stored XSS：

• 恶意脚本被存放在数据库中
• 访问页面 -> 读数据 = 被攻击
• 危害最大，对全部用户可见

Reflected XSS：

• 不涉及数据库
• 从 URL 上攻击

DOM-based XSS:

• 不需要服务器的参与
• 恶意攻击的发起 + 执行，皆在浏览器完成

Mutation-based XSS:

• 利用浏览器渲染 DOM 的特性(独特优化)
• 不同浏览器，存在区别(按浏览器攻击)

CSRF:

• 在用户不知情的前提下
• 利用用户权限
• 构造指定 HTTP 请求，窃取或修改用户敏感信息

SQL Injection:

DOS：

通过某种方式（构造特定请求），导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压，进而引起雪崩效应。
特点：

• 耗时的同步操作
• 数据库写入
• SQL join
• 文件备份
• 循环执行逻辑

DDOS：

短时间内，来自大量僵尸设备的请求流量，服务器不能及时完成全部请求，导致请求堆积，进而雪崩，无法响应新请求。
特点:

• 直接访问 IP
• 任意 API
• 消耗大量宽带，直至耗尽

中间人攻击：

XSS 防御 - 现成工具：

前端：

• 主流框架默认防御 XSS
• Google-closure-library
  服务端(Node)：
• DOMPurify

CSRF 防御：

Injection 防御：

Regex Dos：

Logical Dos：

DDOS：

防御中间人：

个人课后总结：

安全是第一要素，我们应保持不断学习的心态。