1. XSS、CSRF
1.1 同源策略
同源：即协议、域名、端口一致
浏览器的同源策略是：一个域上的脚本和cookie是不允许另外一个域访问的。如果没有同源策略的限制，那么网站的cookie等信息就会被其他人读取，就会造成隐私数据的泄露。
1.2 XSS
XSS：跨站脚本攻击
即攻击者向网站注入恶意代码，利用恶意脚本对网页进行修改，将隐私数据比如cookie、session发送给攻击者，将被攻击者重定向到一个受攻击者控制的网站。
常见手法：
① 链接形式（反射型XSS）
攻击者发一个恶意链接给被攻击者，被攻击者在点开链接并进行浏览的时候，就会执行恶意脚本，然后隐私信息就被获取了。
② 留言形式（存储型XSS）
比如博客，攻击者在博客提交一条带有恶意代码的留言入数据库，用户在查询的时候，就会从数据库中读取这条数据，然后解析执行。
③ DOM Based XSS
图1-1 DOM Based XSS
防范手段：
① 输入过滤：过滤掉输入中的敏感字符，比如&<>"'/等；
② 前端限制输入长度，可以增加XSS攻击难度；
③ 后端响应头set-cookie中设置httpOnly;
1.3 CSRF
CSRF：跨域请求伪造
攻击者构造一个后端链接，去诱导用户点击或者自主请求，就是利用用户已经获取到注册凭证，绕过后端的用户验证。(冒充用户)
图1-2 CSRF攻击流程
常见手法：
① img标签：在被攻击者访问页面时，浏览器会自动向src指向的地址发出请求；
② 自动提交的表单页面：通常是构造一个自动提交的表单在页面上，模拟用户完成了一次POST操作；
③ 链接：通常是需要诱骗用户点击才会触发
防范手段：
① 请求头中带token；
服务端随机生成token，保存在服务端session中，同时保存到客户端中，客户端发送请求时，把token带到HTTP请求头或参数中，服务端接收到请求，验证请求中的token与session中的是否一致。如果请求中没有 token 或者 token 内容不正确，则认为可能是 CSRF 攻击而拒绝该请求。
② 后端验证源referer字段；
根据 HTTP 协议，在 HTTP 头中有一个字段叫Referer，它记录了该 HTTP 请求的来源地址。通过验证Referer，可以检查请求是否来自合法的"源"。
③ 验证码
通过增加网站A的验证手段，例如增加图形验证码或短信验证码等等，只有通过验证的请求才算合法。但是这种方案拥有两个局限性，一个是增加开发成本，另外一个是降低用户体验。
1.4 点击劫持
利用iframe标签，攻击者将iframe标签放到web页面上，并且提升iframe的层级然后让它透明，再在外层放个家页面诱导用户点击。
防范手段：
服务器设置X-Frame-Options: DENY +https
服务器端可设置HTTP头X-Frame-Options：DENY来让浏览器主动禁止<iframe>内嵌，但是这种方式需要结合HTTPS来实现，因为HTTP不可靠，容易被窃听篡改内容
网友评论