web常见漏洞及防御

目录

1.XSS

2.CSRF

3.点击劫持

4.传输安全

5.密码安全

6.接入层注入

7.接入层上传

8.社会工程学和信息泄露


1.XSS

Cross Site Scripting 跨站脚本攻击

XSS攻击注入点

  • HTML节点内容
  • HTML属性
  • Javascript代码
  • 富文本

PHP中防止XSS攻击

  • 内置函数转义:htmlspecialchars--将特殊字符转换为 HTML 实体
  • DOM解析白名单
  • 第三方库
  • CSP

2.CSRF

Cross Site Request Forgery 跨站请求伪造

攻击原理

  1. 用户登录A网站
  2. A网站确认用户身份
  3. B网站向A网站发起请求(携带用户在A网站的身份)

特点

  • 带A网站Cookies
  • 不访问A网站前端
  • referer为B网站

防御

  • 禁止第三方网站携带Cookies:Cookies里的same-side属性 设置为Script或Lax
  • 在前端页面加入验证信息(验证码/token)
  • 验证referer,禁止来自第三方网站的请求

3.点击劫持

    点击劫持,clickjacking,也被称为UI-覆盖攻击。通过覆盖不可见的框架误导受害者点击。虽然受害者点击的是他所看到的网页,但其实他所点击的是被黑客精心构建的另一个置于原网页上面的透明页面。这种攻击利用了HTML中