web安全浅入

- 日理万妓 2023-01-02 04:26 150阅读 0赞

### 目录 ###

*  Cookies
 *  XSS攻击
 *   *  危害
     *  防御
 *  CSRF攻击
 *   *  危害
     *  防御
 *  DOS
 *   *  危害
     *  防御
 *  重放攻击
 *   *  危害
     *  防御
 *  点击劫持
 *   *  危害
     *  防御
 *  SQL注入
 *   *  危害
 *  上传攻击
 *   *  防御
 *  HTTP传输窃听
 *  加密算法
 *  OAuth思想
 *  巨人的肩膀
 *  VChat

--------------------

Web环境的互联网应用越来越广泛，Web安全威胁的凸显，有很多安全知识需要开发者去了解学习及防范

<table> 
 <thead> 
  <tr> 
   <th>安全</th> 
   <th>定义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>私密性</td> 
   <td>不被非法获取和利用</td> 
  </tr> 
  <tr> 
   <td>可靠性</td> 
   <td>不丢失不损坏不被篡改</td> 
  </tr> 
 </tbody> 
</table>

# Cookies #

HTTP Cookie（也叫 Web Cookie 或浏览器 Cookie）是服务器发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再发起请求时被携带并发送到服务器上。通常，它用于告知服务端两个请求是否来自同一浏览器，如保持用户的登录状态。Cookie 使基于无状态的HTTP协议记录稳定的状态信息成为了可能。

cookie在web开发中十分重要，工欲善其事必先利其器，通过Chrome的开发者工具去查看Cookies，`开发者工具` ===> `Application` ===> `Storage` ===> `Cookies`  
![在这里插入图片描述][20210109210303328.png]

<table> 
 <thead> 
  <tr> 
   <th>列名</th> 
   <th>解释</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>Name</td> 
   <td>Cookie 的字段名称</td> 
  </tr> 
  <tr> 
   <td>Value</td> 
   <td>Cookie 的字段值</td> 
  </tr> 
  <tr> 
   <td>Domain</td> 
   <td>Cookie 有效的域</td> 
  </tr> 
  <tr> 
   <td>Path</td> 
   <td>Cookie的有效路径</td> 
  </tr> 
  <tr> 
   <td>Expires / Max-Age</td> 
   <td>Cookie 的过期时间，如果为Session意思是会话级，关了浏览器Cookie 就失效了</td> 
  </tr> 
  <tr> 
   <td>Size</td> 
   <td>Cookie字段 的大小（以字节为单位）</td> 
  </tr> 
  <tr> 
   <td>HttpOnly</td> 
   <td>若设置为true，不允许通过JavaScript进行修改，比如不允许通过脚本document.cookie去更改这个值，同样这个值在document.cookie中也不可见，但在发送请求时依旧会携带此Cookie</td> 
  </tr> 
  <tr> 
   <td>Secure</td> 
   <td>只会在HTTPS和SSL等安全协议中传输此Cookie</td> 
  </tr> 
  <tr> 
   <td>SameSite</td> 
   <td>用来限制第三方Cookie</td> 
  </tr> 
  <tr> 
   <td>Priority</td> 
   <td>chrome的提案，定义了三种优先级，Low/Medium/High，当cookie数量超出时，低优先级的cookie会被优先清除</td> 
  </tr> 
 </tbody> 
</table>

# XSS攻击 #

XSS又叫CSS（Cross-SiteScripting），跨站脚本攻击。是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，通常包含了HTML以及客户端脚本语言（最常见如：JavaScript）发布一段恶意的JavaScript代码就是脚本注入，如果这个代码内容有请求外部服务器，那么就叫做XSS！

当应用程序的新网页中包含不受信任的、未经恰当验证或转义的数据时，或者使用可以创建HTML或JavaScript的浏览器API更新现有的网页时，就会出现XSS缺陷。

<table> 
 <thead> 
  <tr> 
   <th>XSS攻击分类</th> 
   <th>解释</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>反射型</td> 
   <td>url参数直接注入</td> 
  </tr> 
  <tr> 
   <td>存储型</td> 
   <td>存储到DB后读取时注入</td> 
  </tr> 
 </tbody> 
</table>

## 危害 ##

*  偷取网站任意数据：由于数据已经在前端了，那么可以通过dom去获取页面上的数据，比如用户的手机号、邮箱等等个人的数据
 *  获取Cookies：一般来说，cookies有可能有比较敏感的信息，可能造成隐私泄露的后果。比如偷取用户密码和登录态，通过获取到的cookie，那么攻击者可以将cookie种入自己的浏览器中，那么攻击者就可以使用用户的身份登录网站进行各种敏感的操作
 *  劫持前端逻辑：由于插入第三方的代码，那么恶意代码就可以去改动前端的代码逻辑，比如原本某个点击事件是执行A行为的，那么就可能被劫持改成执行B行为
 *  发送请求：比如可以通过修改`<form>`提交的地址，将表单的一些重要信息发送到第三方的服务器，实现了资料的盗取

## 防御 ##

中心思想：一切的一切外部来源数据，都要我们服务端代码的过滤，才能让他展示到页面上，也就是说，一切外部数据都是非法的，一定要做好过滤。

（1）一般来说，手段大部分是将html标签或属性提前闭合了，从而注入了恶意代码，而恶意代码可能携带脚本，避免恶意代码在html中被执行了，那就进行转义，将html字符转义成html实体

*  转义`<`成 `&It;`
 *  转义`>`成`>`
 *  转义`"`成`&quto;`
 *  转义`'`成`'`

（2）如果是富文本的话，由于html的标签和属性相当多，那可以按白名单保留部分标签和属性

（3）设置Cookie时，加上HttpOnly参数  
（作用：可以防止页面被XSS攻击时，Cookie信息被盗取，可兼容至IE6）  
（缺陷：网站本身的JS代码也无法操作Cookie，而且作用有限，只能保证Cookie的安全）

（4）CSP，内容安全策略  
在输出html时，加上Content Security Policy的Http Header  
（作用：可以防止页面被XSS攻击时，嵌入第三方的脚本文件等）  
（缺陷：IE或低版本的浏览器可能不支持）

# CSRF攻击 #

CSRF（Cross-site request forgery），跨站请求伪造。是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方法基本相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。

简而言之，就是冒充用户发起请求（在用户不知情的情况下）,完成一些违背用户意愿的请求（如恶意发帖，删帖，改密码，发邮件等）。

## 危害 ##

*  利用用户登录态，那么就可以进行隐私的行为，比如盗取用户资金（转账、消费）
 *  用户不知情，攻击者冒充用户的身份进行一系列恶意行为，比如发布黄赌毒类信息

## 防御 ##

由于是请求的伪造，那么可以有一些防御的措施，比如在前端页面加入验证信息，如果不是携带这些验证信息发起的请求的话，那么就可以拒绝这些请求。

*  验证码：比如发起请求的时候，需要输入验证码，如果校验不通过那么请求就是失败的
 *  token：在cookies里和请求的时候都带上一个token，如果校验不通过那么请求就是失败的
 *  验证referer：检验请求的Referer参数，禁止来自第三方网站的请求，可以在一定程度上防止CSRF攻击，但Referer参数可以被伪造

# DOS #

DOS是Denial of Service的简称，即拒绝服务，造成DOS的攻击行为被称为DOS攻击，其目的是使计算机或网络无法提供正常的服务。

通过模拟大量的正常用户的行为，造成大量占用服务器资源，那么就无法服务正常用户。

DDOS，大规模分布式拒绝服务攻击，是在DOS基础上进行的大规模，大范围的攻击模式，流量可达几十到上百G，以分布式（肉鸡、代理）进行攻击。

DOS具有代表性的攻击手段包括PingofDeath、TearDrop、UDPflood、SYNflood、LandAttack、IPSpoofingDoS等。

## 危害 ##

*  TCP半连接：tcp有三次握手，攻击者可以只进行一半的握手，服务器就会不断的等待剩下的握手应答，这就是tcp半连接，会造成大量处于等待态的连接，达到一定数量后就无法再回应新连接了
 *  HTTP连接：模拟大量的正常请求去挤占正常用户的正常频率的请求
 *  DNS攻击：导致无法正常解析域名

## 防御 ##

DOS攻击防御

*  防火墙
 *  交换机、路由器
 *  流量清洗：通过对流量进行分析， 根据特征去区分正常的访问和攻击者的访问
 *  高防IP：云服务厂商提供的服务，当受到攻击的时候，给受攻击的服务器一个ip，让域名指向这个ip，所以当流量都会打到这个高防IP，这个高防IP会进行流量清洗，将攻击的流量进行拦截，并且云服务厂商是有高流量带宽的， 所以可以进行防御

DOS攻击预防

*  避免重逻辑业务：让请求可以快速返回，不至于占用过长时间的服务器资源
 *  失败有限重试机制：一般来说失败了可能会有重试机制，那么就要有限次的重试，甚至达到一定量级失败后就快速返回，不进行重试
 *  防雪崩机制：当服务快达到负载上限时就不再服务，防止雪崩效应
 *  有损服务：允许有些服务不可用，保证核心服务是可用的
 *  CDN：减轻服务器的压力

# 重放攻击 #

请求被窃听或记录，再次发起相同的请求，从而产生意外的结果，比如重复消费，重复登录，重复抽奖

## 危害 ##

不断恶意或欺诈性地重复一个有效的数据传输，可能导致服务器的数据处理异常，比如抽奖，重复这个过程，让攻击者可以无限制的抽奖，将奖品落入囊中

## 防御 ##

*  加密（HTTPS）：通过加密防止窃听
 *  时间戳：记录时间戳，请求在某个时间段才有效，为了防止篡改，需要进行签名
 *  token（session）：请求时携带token，只有有记录的token才是有效的请求
 *  nonce：可理解为随机数，服务端记录nonce，如果有记录，那么就认为该请求是处理过的，就拒绝重复的处理这个请求，为了防止篡改，需要进行签名

# 点击劫持 #

点击劫持(ClickJacking)，又称“UI-覆盖攻击”，通过覆盖不可见的框架误导受害者进行点击而造成的攻击行为。其本质是一种视觉欺骗。

一是攻击者使用一个透明的iframe，覆盖在一个网页上，然后诱使用户在该页面上进行操作，此时用户将在不知情的情况下进行了 操作。

二是攻击者使用一张图片覆盖在网页，遮挡网页原有位置的含义。

## 危害 ##

*  盗取用户资金（转账、消费）
 *  获取用户敏感信息

## 防御 ##

*  X-FRAME-OPTIONS

# SQL注入 #

是程序员在开发中对用户和数据库交互的系统时，没有对用户输入的字符串进行过滤，转义，限制或处理不严谨，导致用户可以通过输入精心构造的字符串去非法获取到数据库中的数据。

## 危害 ##

*  猜解密码：通过不断的尝试去一位一位的猜出密码字段可能的值
 *  获取数据：通过SQL注入的方式可以获取到批量数据
 *  删库删表：比如可以用union drop table语句去行使
 *  拖库：窃取其数据库数据，将数据库拖出来。非法获取数据库中敏感信息，一般这些敏感信息包括用户的账号信息如用户名、密码；身份信息如真实姓名、证件号码；通讯信息如电子邮箱、电话、住址等，裤子都被扒掉了，因为谐音，也被称作“脱裤”。

# 上传攻击 #

上传流程中存在一个问题，攻击者可以上传一个可执行文件如木马，病毒，恶意脚本，WebShell等到服务器执行，这就存在着巨大的漏洞

## 防御 ##

*  限制上传后缀：在上传的时候限制上传文件的后缀，那么改变后缀就可以绕过了
 *  文件类型检查：通过检查文件的类型，只有指定的文件类型才能允许上传
 *  文件内容检查：对文件内容的头部进行读取检查，因为文件内容的头部一般都是固定，所以在上传的时候读取出文件内容的头部进行检查，只有指定的内容头才能上传，但也很容易绕过，比如将文件的头部改成能被接受的内容就会被绕过了
 *  程序输出：不允许直接访问文件，那么服务器先将文件内容读出来，再返回给浏览器，但这十分影响性能
 *  权限控制-可写可执行互斥：将文件的可写权限和可执行权限进行控制，可写的就不可执行，可执行的就不可写

# HTTP传输窃听 #

> `traceroute`： 跟踪数据传输的链路

![在这里插入图片描述][20210110001047103.png]

从图中可以看出来，最容易被窃听的就是在传输链路，甚至有可能会被篡改信息，所以一般会在传输链路进行加密，比如TLS（SSL）加密

> 密码安全
> 
>  *  https传输：用密文进行传输
>  *  频率限制：服务器对输入密码的频率进行限制，这可以有效的防止猜解
>  *  前端加密意义有限：比如前端密码进行加密，有作用但有限，攻击者可以同样可以传输经过前端加密的密文去请求，但可以防止明文密码的泄露，及防止恶意的撞库

# 加密算法 #

<table> 
 <thead> 
  <tr> 
   <th>推荐使用的强加密算法</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>AES ( &gt;= 128 bits )</td> 
  </tr> 
  <tr> 
   <td>SHA256 或以上</td> 
  </tr> 
  <tr> 
   <td>RSA ( &gt;= 2048 bits )</td> 
  </tr> 
  <tr> 
   <td>DSA ( &gt;= 2048 bits )</td> 
  </tr> 
 </tbody> 
</table>

# OAuth思想 #

*  一切行为由用户授权
 *  授权行为不泄露敏感信息
 *  授权会过期

> 利用OAuth思想防止数据泄露  
> ![在这里插入图片描述][20210110151550156.png]
> 
>  *  用户授权读取资料
>  *  无授权的资料不可读取
>  *  不允许批量获取数据
>  *  数据接口可风控审计：数据和业务没有分离的时候，业务获取数据的时间点和是操作方、操作方式都是不可知的，那么如果发生了数据泄露，就无法追踪了。当数据和业务进行分离后，就可以得知请求敏感数据的操作时间、操作方、操作方式，如果发生数据泄露的话，也可以控制数据的泄露范围，也能避免无限制的泄露数据

# 巨人的肩膀 #

> 从他人的工作中汲取经验来避免自己的错误重复，正如我们是站在巨人的肩膀上才能做出更好的成绩。

[https://coding.imooc.com/class/104.html][https_coding.imooc.com_class_104.html]  
[https://developer.mozilla.org/zh-CN/docs/Web/HTTP][https_developer.mozilla.org_zh-CN_docs_Web_HTTP]  
[https://cloud.tencent.com/developer/section/1189856][https_cloud.tencent.com_developer_section_1189856]  
[https://www.cnblogs.com/heyuqing/p/6215761.html][https_www.cnblogs.com_heyuqing_p_6215761.html]  
[http://www.ayqy.net/blog/%E6%89%93%E7%A0%B4iframe%E5%AE%89%E5%85%A8%E9%99%90%E5%88%B6%E7%9A%843%E7%A7%8D%E6%96%B9%E6%A1%88/][http_www.ayqy.net_blog_E6_89_93_E7_A0_B4iframe_E5_AE_89_E5_85_A8_E9_99_90_E5_88_B6_E7_9A_843_E7_A7_8D_E6_96_B9_E6_A1_88]  
[https://blog.csdn.net/qq\_39834073/article/details/107808959][https_blog.csdn.net_qq_39834073_article_details_107808959]  
[https://zhuanlan.zhihu.com/p/150121109][https_zhuanlan.zhihu.com_p_150121109]

# VChat #

一个没有哆啦A梦和静香的IT码农，不专业Gopher  
![在这里插入图片描述][20201206221123294.png]

[20210109210303328.png]: /images/20221120/931534e644f54a59979ff1f0253ef17f.png
[20210110001047103.png]: /images/20221120/07e8bdc0deb84315bfcffef6619ee604.png
[20210110151550156.png]: /images/20221120/dca85ccfa8f244bd85b07f267c80c7fa.png
[https_coding.imooc.com_class_104.html]: https://coding.imooc.com/class/104.html
[https_developer.mozilla.org_zh-CN_docs_Web_HTTP]: https://developer.mozilla.org/zh-CN/docs/Web/HTTP
[https_cloud.tencent.com_developer_section_1189856]: https://cloud.tencent.com/developer/section/1189856
[https_www.cnblogs.com_heyuqing_p_6215761.html]: https://www.cnblogs.com/heyuqing/p/6215761.html
[http_www.ayqy.net_blog_E6_89_93_E7_A0_B4iframe_E5_AE_89_E5_85_A8_E9_99_90_E5_88_B6_E7_9A_843_E7_A7_8D_E6_96_B9_E6_A1_88]: http://www.ayqy.net/blog/%E6%89%93%E7%A0%B4iframe%E5%AE%89%E5%85%A8%E9%99%90%E5%88%B6%E7%9A%843%E7%A7%8D%E6%96%B9%E6%A1%88/
[https_blog.csdn.net_qq_39834073_article_details_107808959]: https://blog.csdn.net/qq_39834073/article/details/107808959
[https_zhuanlan.zhihu.com_p_150121109]: https://zhuanlan.zhihu.com/p/150121109
[20201206221123294.png]: /images/20221120/6eafcbeb4a824565b2f11cbe488e8573.png