常见网络攻击--XSS && CSRF

相学长

XSS

XSS全称跨站脚本攻击(Cross Site Scripting),顾名思义,就是通过向某网站写入js脚本来实现攻击。如果熟悉或了解SQL注入的话,这么一说大概就十分清楚了。

如果是刚接触web开发的同学,可能乍想不明白,自己的网站,别人如何写入js脚本?开发中也会忽视容易被注入的点,导致XSS漏洞。

常见攻击形式

1. 非持久型攻击

有些网站的网页内容与url参数相关,比如很多搜索结果页。

如搜狗搜索xss:https://www.sogou.com/web?query=xss

那么网页中将存在会大量的a标签中带有query=xss
假如搜狗不给参数做任何安全处理,此时只要把query=xss改成query=xss"a/><script>alert('XSS')</script>。那么再打开此链接,就会直接执行alert。当然搜狗肯定是做了安全处理了。

这种攻击都是一次性的,得先找到漏洞地址后,设置好url,然后发给别人,诱使别人点击,从而通过执行脚本,获取对方的cookie。你得到对方的cookie后,就可以为所欲为了。

比如什么教务系统啦,发个xss注入的链接给你的老师,他一点击,跳到教务系统,神不知鬼不觉的把他的cookie发到你的服务器上。

你马上用老师的cookie登陆教务系统,改成绩,谦虚点,改个99分。

然后过几天被开除了。

2. 持久性攻击

这种攻击就不是在url上下手了,而是直接把注入代码写到网站数据库中。

有些网站呢,是内容生成网站,比如很多的博客站,有非常多的用户输入页。用户敲了一篇博客,存到网站数据库,然后网站读出内容,呈现给其他用户。

此时,如果不对用户输出的内容加以过滤,就可以注入一些js脚本内容。这样,别人看到这篇博客时,已经在执行他写的js脚本了。

之前新浪微博就爆发过这样的漏洞,一些大V先是中了招,然后自动向粉丝发送被攻击的页面地址,于是不断循环。

危害

xss注入后,本来你的网站页面js能做的事情,它都可以做了。除了上面所述的,我再随便举几个例子。

  1. 获取他人隐私信息。

  2. 破坏、修改网站原本页面内容。

  3. 跳转到其他恶意页面。

  4. 如果页面影响大,可以对其他网站发起DDoS攻击。

如何防范

其实现在大多成熟的web框架,自带过滤XSS脚本。很多浏览器如Chrome,也自带了XSS过滤器。但也正因为如此,开发过程中就更容易忽略这个问题。

1. 过滤用户输入

千万不要相信用户的任何输入,不要认为用户都是无害的。他们会想尽办法的绕弯来攻击。所以,任何用户的任何输出,都是不可信的。对于网站上有用户输入的部分,如各种表单内容、富文本内容,都应该对js脚本进行过滤,直接去除或者替换修改。

2. 对不可信输出编码

虽然已经过滤了用户输入,但总有可能百密一疏。所以还是不能相信任何用户输入的内容。如果网站需要将这些内容输出到页面上,必须得对这些数据先进行转义、编码。

3. 安全Cookie

之所以XSS能干很多坏事,有一部分是因为获取到了其他用户的cookie。所以将cookie设置HttpOnly后,js就无法获取到该网站的cookie。自然也没办法将其他用户的隐私信息传到自己的服务器。

4. 提高防范意识、多测试

如XSS、CSRF这样的攻击,已经有了很多成熟的防范手段,相信大家随便搜搜都能找到。但重点还是得培养这个防范意识,对于任何有可能执行脚本的地方,都应该多提防。对于任何用户输入的地方,都应该多测试,现在也有很多XSS测试工具。

CSRF

CSRF全称跨站请求伪造(Cross-site request forgery)。一听好像跟XSS没什么差,确实XSS也是实现CSRF的一种手段。XSS点是在于跨站注入脚本,进而干坏事。CSRF点在于利用各种手段,实现伪造其他网站请求,不一定是通过XSS。

常见攻击途径

1. 通过GET请求

假如某博客网站发布留言的请求是 get: http://www.blog.com/message?content=留言内容

现在我登录了此博客网站A,然后又访问了另外一个网站B,B网站直接跳转到:http://www.blog.com/message?content=嘿嘿嘿。那么你就在A网站自动的留言了一条“嘿嘿嘿”这样的内容。

所以说一切操作资源的请求,都不应该是GET请求。

2. 通过XSS

之前也阐述过,如果cookie设置的不安全,就可以通过xss获取他人的cookie,有了别人的cookie,服务端再也分不清我是敌是友了,便可以为所欲为。切记,通过xss获取到cookie,发起的CSRF攻击,理论上无法防御。但可以通过一些手段提高技术门槛。

防御手段

1.规范请求类型。

任何资源操作的请求,必须是POST、PUT、DELETE,总之不能是GET

2.检查Referer

即检查请求头中的来源网站,从而保证此次请求来源于信任的网站。

3.设置请求Token

当我访问页面时,服务端会在页面写入一个随机token值,并设置token生命周期。之后我的请求就必须带上此次token值,请求过的token就会失效,无法再用。更加安全性的页面,如登录页面,应该加验证码。

4.防住第一道防线-XSS

再次强调,如果cookie被别人拿走,任何防御都将在理论上失效。上述的防御手段仅仅是提高攻击门槛。有了你的cookie,我可以直接请求你的页面,获取你的token,获取你的验证码图片并解析出来,然后再发起请求。而服务器还以为这是你本人。

参考

1.跨站请求伪造-维基百科

2.跨站脚本-维基百科

阅读 9.7k

相学长怼前端
相学长的前端学习心得,以最简单的大白话来解释最晦涩的知识
2.5k 声望
178 粉丝
0 条评论
2.5k 声望
178 粉丝
文章目录
宣传栏