这是我参与「第五届青训营 」笔记创作活动的第11天。活动详情：# 伴学笔记创作活动来袭 ｜ 第五届字节跳动青训营
在网络时代下，Web 安全随处可见并且危害极大，Web 安全问题也越来越受到重视。基于此背景，本节课将从安全问题中「攻击者」的角色出发，讲解目前存在哪些技术手段将危害到 Web 安全。
- Cross-Site Scripting(XSS) 跨站脚本攻击 XSS：
-
通常难以从UI上感知
-
窃取用户信息cookie/token
-
绘制UI（例如弹窗）诱导用户点击、填写
-
永远不信任用户提交的内容
-
永远不要将用户提交的内容直接转换成DOM 而是将其作为字符串进行处理
-
前端：主流框架默认防御XSS google-closure-library
-
服务端：npm包：DOMPurify
-
string->DOM 上传svg 用户自定义样式/跳转链接
-
CSP
Stored XSS
- 恶意脚本被存储在数据库中
- 危害最大，对全部用户可见
Reflected XSS
- 不需要服务器参与
- 发起和执行全部在浏览器执行或修改用户敏感信息
DOM-based XSS
Mutation-based XSS
- Cross-site request forgery(CSRF)
- 跨站伪造请求
- 在用户不知情的情况下利用用户权限构造指定HTTP请求窃取
- Origin+Referrer
- 请求来自于合法方式
- token防御机制 token和具体用户进行绑定 设置过期时间：向前保密
- iframe攻击：X-Frame-Options:DENY/SAMEORIGIN
- 避免用户信息被携带：SameSite Cookie 限制Cookie domain、页面域名是否匹配
- SameSite VS CORS（跨站资源共享）
- 制作中间件
- Injection SQL Injection
- 请求读取字段
- 直接以字符串的形式拼接SQL语句
- 找到项目中查询SQL的地方 使用prepared statement
- 最小权限原则：sudo||root
- 白名单机制
- 对URL类型参数进行协议、域名、ip等限制
CLI 命令行
OS command 系统命令
Sever-Side Request Forgery（SSRF）服务端伪造请求（原理与Injection类似）
- 请求用户自定义的callback URL
- web sever通常有内网访问权限
- Denial of Service(DoS) 基于正则表达式的DoS：贪婪模式 ?满足一个/ no?匹配尽量多
代码扫描+正则性能测试
Logical DoS
-
Distributed DoS(DDoS)
-
中间人攻击 传输层
- 明文传输
- 信息篡改不可知
- 双方身份未验证
同源策略：协议、域名、端口号 CSP（Content Security Policy）
