Web安全（一）｜青训营笔记这是我参与「第五届青训营」伴学笔记创作活动的第 6 天 Web安全一窥安全问题会危害

这是我参与「第五届青训营」伴学笔记创作活动的第 6 天

Web安全一窥

安全问题会危害用户，公司，程序员

Web安全的两个角度

hacker-攻击

Cross-Site Scripting（XSS）

XSS主要利用了

1.盲目信任用户的提交内容

string->DOM
-document.write
-element.innerHTML = anyString;
-SSR(user_data) //伪代码

XSS的特点

1.通常难以从UI上感知（暗地执行脚本）

2.窃取用户信息（cookie/token）

3.绘制UI（例如弹窗），诱骗用户点击/填写表单

Stored XSS

1.恶意脚本被存在数据库中

2.访问页面->读数据=被攻击

3.委还最大，对全部用户可见

Reflected XSS

1.不涉及数据库

2.从URL上攻击

DOM-based XSS

1.不需要服务器的参与

2.恶意攻击的发起+执行,全在浏览器完成

Mutation-based XSS

1.利用了浏览器渲染DOM的特性(独特优化)

2.不同浏览器会有区别(按浏览器进行攻击)

Cross-site request forgery(CSRF)

1.在用户不知情的前提下

2.利用用户权限(cookie)

3.构造指定HTTP请求,窃取或修改用户敏感信息

Injection

SQL Injection

1.请求:SQL参数(恶意注入)

2.Server:参数->SQL

运行 SQL code

3.获取其他数据,修改数据,删除数据...

demo1

public async renderForm(ctx) {
    const { username,form_id } = ctx.query;
    const result = await sql.query(`
        SELECT a, b, c FROM table
        WHERE username = ${username}
        AND form_id = ${form_id}
    `);
    cts.body = renderForm(result);
}

1.读取请求字段

2.直接以字符串的形式拼接SQL语句

Injection不止于SQL

CLI

OS command

Server-Side Request Forgery(SSRF),服务端伪造请求,严格而言,SSRF不是injection,但是原理类似

SSRF demo

public async webhook(ctx) {
    //callback可能是内网url
    //e.g http://secret.com/get_employ_payrolls
    ctx.body = await fetch(ctx.query.callback);
}

1.访问callback=暴露内网信息

2.请求用户自定义的callback URL

３.web　server　通常有内网访问权限

Denial of Service(DoS)

通过某种方式(构造特定请求),导致服务器资源被显著消耗,来不及响应更多请求,导致请求挤压,进而雪崩效应

ReDoS:基于正则表达式的DoS

Logical DoS

1.耗时的同步操作

2.数据库写入

3.SQL join

4.文件备份

5.循环执行逻辑

Distributed DoS(DDoS)

短时间内,来自大量僵尸设备的请求流量,服务器不能及时完成全部请求,导致请求堆积,进而雪崩效应,无法响应新请求

攻击特点

1.直接访问IP

2.任意API

3.消耗大量宽带(耗尽)

Web安全（一） ｜ 青训营笔记