这是我参与「第五届青训营 」伴学笔记创作活动的第 11 天
Web开发安全——攻击篇
XSS攻击目标
1.盗取存储在客户端的Cookie或网站用于识别客户端身份的敏感信息
通过恶意javascript脚本获取Cookie，通过Ajax和CORS功能将数据发送给恶意服务器，恶意服务器拿到用户Cookie 后，可进行模拟用户登录，进行账户操作。
通过恶意javascript脚本，监听用户事件，获取登陆键入字符串获取用户信息。
3.更改DOM结构根据URL传递参数的关键字，进行XSS构造，传输给服务器端，如果不做过滤处理，恶意代码将被执行
XSS最常见的一种攻击方式——跨站脚本攻击
- XSS主要利用了我们开发者
- 盲目信任用户提交的内容
- 我们直接把用户提交的字符串转化成了DOM
XSS的一些特点
- 通常难以从 UI上感知(暗地执行脚本)
- XSS窃取用户信息 (例如cookie/token)
- XSS可以控制Js 绘制 UI(例如弹窗)，诱骗用户点击/填写表单 要对用户提交的内容进行过滤
存储型的XSS攻击——Stored XSS
- 恶意脚本被存在数据库中
- 访问页面->读数据=被攻击
- 危害最大，对全部用户可见
小结：对全部用户可见，危害最大
反射性XSS攻击———Reflected XSS
不涉及数据库
从URL上攻击
基于DOMXSS攻击——DOM-based XSS
不需要服务器的参与
恶意攻击的发起+执行，全在浏览器完成
Reflected XSS和 DOM-based XSS很相似，它们的区别在于完成注入脚本的地方,Reflected是在服务端进行注入,DOM-based是在浏览器完成
mutation-based xss
- 利用了浏览器染 DOM 的特性 (独特优化)
- 不同浏览器，会有区别 (按浏览器进行攻击)
Cross-site request forgery(CSRF)
- 在用户不知情的前提下
- 利用用户权限 (cookie
- 构造指定HTTP请求，窃取或修改用户敏感信息
防御篇
针对XSS攻击的防御
- 永远不信任用户的提交内容
- 不要将用户提交内容直接转换成 DOM
XSS现成工具
前端
- 主流框架默认防御XSS
- google-closure-library
服务端(Node)
- DOMPurify
CSRF的防御
- if伪造请求=异常来源
- then 限制请求来源->限制伪造请求
请求头部 - Origin
- 同源请求中，GET + HEAD 不发送
- Referer
HTTPS的一些特性：
- 可靠性:加密
- 完整性:MAC 验证
- 不可抵赖性:数字签名
