XSS

攻击前提

攻击脚本必须添加到页面上

攻击方式

跨站脚本XSS(Cross site script) 代码注入

script 标签注入攻击 <li><script>alert(1)</script></li>

标签属性注入攻击 <img src="" onerror="alert(1)"> <p onclick="alert(2)">诱导点击</p>

广告注入 <iframe src=''></iframe>

防止XSS攻击

获取的数据不允许进行字符串拼接

使用element.inneText方法把数据添加到dom 中，inneText 方法会转义所有内容

把所有数据里的/["'&<>]/使用正则进行转义

存储数据时过滤并转义/["'&<>]/

防止URL 上的参数在页面上展示 http://url?code=<p onclick="alert(2)">诱导点击</p> 这里的code query参数内容不得在页面中渲染

CSRF

攻击原理

利用用户已经登录的状态伪造请求发送给服务器进行用户操作

攻击方式

跨站请求伪造(Cross site request forgery)

用户已登录(cookie登录)如果没设置httpOnly cookie是根据域名和路径访问的, 无关端口

伪造请求(GET, POST)

伪造GET
<img src="http://localhost:3000/csrf?data=111" alt="">
http://localhost:3000/csrf?data=111 // 直接地址栏中输入

表单伪造POST
    <form id="form" style="display: none;" action="http://localhost:3000/csrf?data=111" method="post" target="csrf">
    </form>
    <input id="btn" type="button" value="submit">
    <iframe src="" style="display: none;" name="csrf" frameborder="0"></iframe>
    <script>
      btn.addEventListener('click', (e) => {
        e.preventDefault()
        form.submit()
      })
    </script>

防止CSRF攻击

请求时不仅浏览器携带cookie， 请求参数也需要把跟cookie 相关的值携带到参数中, 伪造的请求无法获取正确网站cookie的值, 比如常见约定的csrfToken

使用Authorization 的token 授权

提交表单的时候增加token 认证

验证请求header 的Referer 携带请求来源信息