浅析 Web 安全之 XSS 与 CSRF(2)，69个经典网络安全面试题和答案详解

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip204888 （备注网络安全）

正文

反射型攻击主要是用户输入了一段可执行的代码，然后后台没有对输入进行处理，如

<-- 反射型 XSS -->

假设这是一个查询框，用户输入了下面一段代码

然后后台没有对数据进行任何处理，重定向到查询结果界面以后显示查询不到任何结果并且显示了警告 1；查看网页结构会发现结构变成如下这样

这段用户输入的代码变成了网页中的元素。

假设你点击了一段陌生的链接

localhost:8080?xss=<script>alert(1)</script>

其实这段代码和上面的操作是一样的，只不过这是别人发给你的链接，需要你来点击，当然这种链接很多人可能会有警惕，但是可以通过转换变成一个短网址

http://crogps.cn/j8Ca1R

这样还能看出来吗，于是你点击了以后，就显示了一个警告。

可能显示警告造不成太大的危害，如果里面是将你的 Cookie 发送攻击者的网站呢，或者链接了攻击者的 js，改变了页面的逻辑等等，那么危害就大了。但是这种攻击方式并不会保存到数据库中，而且需要用户点击，所以危害相对小一些。

1.1.2 存储型

存储型攻击攻击原理和反射型类似，不过存储型攻击输入的代码会被保存到数据库中，所有的用户都可以看到这些信息。

比如在微博的评论里面加入这么一条评论

点击这里有钱拿

如果后端没有做任何处理，将这条信息保存到数据库中。那么所有人都可以看到这条评论。并且显示的是一个链接的形式，如果用户好奇点击了，就会被引导到攻击者的网站，进行后续的操作。

点击的转化率不是太高，所以如果攻击者写的是这样的一条

因为该文件不存在，所以就会触发 onerror 事件。那么当用户加载评论的时候就会运行攻击代码，造成危害。

由于存储型攻击是将攻击代码存储到数据库中，并且可以扩散到所有人，所以危害特别大。

1.2 攻击方式

• 富文本攻击

• script 攻击

• html 内容

• html 属性

这些攻击方式的话和上面基本类似，除了富文本的攻击。富文本就是类似邮件和写博客时候的编辑框，可以设置字体颜色等，因为它本身用的就是 html 属性，所以它允许用户嵌入代码，如果这段代码是发给管理者的，就可能获取管理者的数据，造成危害，因此富文本的防御和其他的有所区别。

1.3 防御方式

1.3.1 浏览器自带防御机制

目前大多数浏览器都有自带的防御 XSS 攻击的机制，而且默认是开启的，但是这种防御机制只能防御一些基本的反射型的 XSS 攻击，功能十分有限。

1.3.2 对特殊字符进行转义

这也是前端唯一可以做的，当然也可以后端来做，即将特殊字符进行转义，因此浏览器解析的时候就不会将它渲染成元素，而是渲染成文字，具体操作如下

var escapeHtml = function(str){

if (!str) return ‘’;

str = str.replace(/</g,‘<’);

str = str.replace(/>/g,‘>’);

str = str.replace(/"/g,‘&quto;’);

str = str.replace(/‘/g,’‘’);

str = str.replace(/&/g,‘&’);

return str

};

1.3.3 设置白名单或黑名单

这个主要是针对富文本进行处理的，因为富文本允许用户输入代码。

主要思路就是将字符串解析成 dom 树，然后对 dom 树做黑名单或白名单处理。

黑名单即去掉指定的标签和属性，如

// 黑名单

var xssFilter = function(html){

if(!html) return ‘’;

// 过滤 script 标签

html = html.replace(/<\s*/?script\s*>/g,‘’);

// 过滤 a 标签如

html = html.replace(/javascript:[^‘"]*/g,’');

// 过滤 img 标签的 onerror 事件如

html = html.replace(/onerror\s*=\s*[‘"]?[^’“]*['”]?/g,‘’);

return html;

}

由于能触发的标签属性太多，不可能把所有情况都考虑到，所以可以考虑做白名单

白名单即只保留想要的属性和标签，实现方式如下

// 假设 htmlList 是解析完以后的 dom 节点

var xssFilter = function(htmlList){

if(!htmlList) return ‘’;

// 假设只允许 img 标签，并且只允许它带有 src 属性

var whiteList = {

‘img’:[‘src’],

};

htmlList.each(function(elem,index){

// 如果标签不在白名单中

if(!whiteList[elem.name]){

// 删除该标签

htmlList.splice(index,1);

return;

}

for(var attr in elem.attributes){

// 如果标签的属性不在白名单中

if(whiteList[elem.name].indexOf(attr)===-1){

// 删除该属性

elem.setAttribute(attr,null);

}

}

});

return htmList;

};

1.3.4 CSP

CSP 即内容安全策略，英文全称 Content Security Policy，即用于指定哪些内容可以执行，是最近提出的一种解决方案。

学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

blog.csdnimg.cn/7a04c5d629f1415a9e35662316578e07.png#pic_center)

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）
[外链图片转存中…(img-VLq74ELk-1713255013725)]

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！