攻击篇

1、Cross-Site Scripting(XSS)：盲目信任用户的提交内容

特点：

• 通常难以从UI上感知（暗地里执行脚本）
• 窃取用户信息
• 绘制UI（例如弹窗），诱骗用户点击/填写表单

Stored XSS

• 恶意脚本被存放在数据库中
• 访问页面->读数据=>被攻击
• 危害最大，对全部用户可见

Reflected XSS

• 不涉及数据库
• 从URL上攻击

DOM-based XSS

• 不需要服务器的参与
• 恶意攻击的发起+执行，全在浏览器完成

Mutation-based XSS

• 利用了浏览器渲染DOM的特性（独特优化）
• 不同浏览器，会有区别（按浏览器进行攻击）

2、Cross-site request forgery(CSRF)

特点：

• 在用户不知情的前提下
• 利用用户权限（cookie）
• 构造指定HTTP请求，窃取或修改用户敏感信息

3、Injection

读取、修改、删除数据。

4、Denial of Service(DoS)：通过某种方式（构造特定请求），导致服务器资源被显著消耗，来不及响应更多请求，导致请求被挤压，进而雪崩效应。

5、Distributed DoS(DDoS)

短时间内，来自大量僵尸设备的请求流量，服务器不能及时完成全部请求，导致请求堆积，进而雪崩效应，无法响应新请求。

6、中间人攻击

在浏览器和服务器之间操作数据。

成因：

• 明文传输
• 信息篡改不可知
• 对方身份未验证

防御篇

1、XSS的防御

• 永远不信任用户提交的内容
• 不要将用户提交的内容直接转换为DOM，而更应该将其作为字符串

2、CSP

• 哪些源被认为是安全的
• 来自安全源的脚步可以执行，否则直接报错
• 对eval和inline script直接报错

3、CSRF的防御

• token

对iframe攻击实现同源请求的防御：

X-Frame-Options:DENY/SAMEORIGIN

4、对DoS的防御

• 避免回溯
• 代码扫描+正则性能测试
• 拒绝使用用户提供的正则

5、防御 Injection

• 最小权限原则
• 建立允许名单+过滤
• 对URL类型参数进行协议、域名、ip等限制

6、对DDoS的防御

• 流量治理（负载均衡、API网关、CDN）
• 快速自动扩容
• 非核心服务降级

7、防御中间人

• HTTPS（加密传输信息、判断信息是否被篡改）