web安全漏洞及防御手段(一)

前言

web安全主要体现在私密性和可靠性，私密性即用户个人资料不被非法获取和利用只有授权才可以访问，可靠性即用户个人资料不会丢失不被损坏和不会被他人篡改。

xss（跨站脚本攻击）

1. 名词解释：Cross Site Scripting(简写XSS)

2. 名词定义：本网站运行来自第三方网站或者个人的逻辑（比如可以通过脚本注入网站用户信息）

3. 攻击原理：程序+数据=结果（比如网站常见搜索框如果没有防范xss会注入第三方逻辑）

4. xss案例
   

5. 危害： 可以获取页面数据 ，获取用户的Cookie， 劫持前端逻辑，发送请求给第三方，偷取用户相关信息，偷取用户的密码和登陆态（一般用户令牌Token放在Cookie），欺骗用户

6. xss攻击分类

   • 反射型 url参数直接注入
   • 存储到DB后读取时注入

7. xss攻击注入点

   • HTML节点内容（动态生成）
   • HTML属性
     
   • JavaScript代码
     
   • 富文本（所谓富文本本质就是html标签组成）

8. 防御方式：
   - 浏览器自带的防御机制 （地址栏包含html内容或属性会进行拦截）需要设置 header属性（X-XSS-Protection，0关掉 1默认打开另外1后面可以指定url当你的网站受到xss攻击会默认请求这个地址）防御效果有限 多种变种无法拦截
   - HTML节点内容（转义时机存入数据库时进行转义 显示的时候进行转义）
   - HTML属性（不但转义双引号也要转义单引号还有空格及&符号转义）
   - JavaScript代码防御手段
   

• 富文本防御手段
  • 按照名单保留部分标签和属性（主流第三方库）
  • 按照黑名单拦截部分标签和属性
• CSP（Content Security Policy----内容安全策略）
  • 用于指定哪些内容可以执行
  • http头属性Content-Security-Policy（default-src self同域内容）