原理:获取用户的Cookie
-
评论区或者搜索框(可以输入的地方)
-
URL上拼接js代码
1、存储型 Server
论坛发帖、商品评价、用户私信等等这些用户保存数据的地方
攻击者将恶意代码提交到目标网站的数据库中,
用户开打该网站评论、内容的时候就会被攻击,
用户浏览器收到html代码后,混入其中的恶意代码就会被执行
比如获取用户的cookie信息,然后发送给攻击者的服务器。
在实际开发中,开发人员要增强安全意识,为用户的信息安全保驾护航。这其实就涉及XSS的防御,要对用户输入输出的特殊信息进行转换和过滤。
2、 反射型 Server
攻击者通过各种手段,诱导用户点击恶意URL,
通过URL传参数的过程,比如网站的搜索或者跳转
攻击者构造出特殊的 URL,其中包含恶意代码,这种攻击常见于通过 URL
传递参数的功能,将cookie传给攻击者的服务器,比如,在url参数上,http://localhost?name= 获取 get 方式传递的变量名为
name的变量值(值为一个字符串),然后显示在屏幕上,注意这中间并未对用户输入进行任何过滤。然后攻击者就可以通过输入
<script>alert('xss')</script> :或者javascript:alert('xss');或<<img src=1 onerror=alter(1)>
进行攻击,
由于需要用户主动打开恶意的 URL 才能生效,攻击者往往会结合多种手段诱导用户点击,比如抽奖红包、美女图片、娱乐八卦,有a标签如
****其中xss为变量,是通过url获取的,这时候就需要对输入的
防御办法
-
开发人员需要对输入内容进行过滤和转译。对a连接跳转增加白名单 [‘http’,‘https’]判断
-
设置cookie为httponly ,可以禁止cookie通过脚本获取。
-
加入meta标签,csp (Content Security Policy) 防止页面被XSS攻击时,嵌入第三方的脚本文件
3、 DOM 型 Browser
无论是持久型XSS还是反射型XSS,
恶意的js脚本内容都需要由服务端返回给用户,而Dom型XSS型却例外吗,这里是属于前端代码的漏洞,攻击者将带有恶意链接的代码发给用户进行点击,前端代码获取到链接上的参数执行,如
var hash = location.hash.slice(1);
document.write(hash);
//或者
function domxss(){
var str = window.location.search;
var txss = decodeURIComponent(str.split(“text=”)[1]);
var xss = txss.replace(/+/g,’ ');
document.getElementById(“dom”).innerHTML = “跳转”;
}
如何防范XSS攻击呢?
主旨:防⽌攻击者提交恶意代码,防⽌浏览器执⾏恶意代码
- 对数据进⾏严格的输出编码:如HTML元素的编码,JS编码,CSS编码,URL编码等等
避免拼接 HTML;Vue/React 技术栈,避免使⽤ v-html / dangerouslySetInnerHTML
- CSP HTTP Header(内容安全策略),即 Content-Security-Policy(不⽀持CSP的旧版浏览器可以设置X-XSSProtection,
增加攻击难度,配置CSP(本质是建⽴⽩名单,由浏览器进⾏拦截)
Dom型XSS的防御,还是依赖于参数校验、过滤、转义等方法,以及加CSP(内容安全策略),它可以禁⽌加载外域代码, 禁⽌外域提交等等
Content-Security-Policy: default-src ‘self’ -所有内容均来⾃站点的同⼀个源(不包括其⼦
域名)
Content-Security-Policy: default-src ‘self’ *.trusted.com -允许内容来⾃信任的域名及其
⼦域名 (域名不必须与CSP设置所在的域名相同)
Content-Security-Policy: default-src https://lubai.com -该服务器仅允许通过HTTPS⽅式
并仅从lubai.com域名来访问⽂档
禁⽌加载外域代码,防⽌复杂的攻击逻辑。
禁⽌外域提交,⽹站被攻击后,⽤户的数据不会泄露到外域
-
输⼊验证:⽐如⼀些常⻅的数字、URL、电话号码、邮箱地址等等做校验判断
-
开启浏览器XSS防御:Http Only cookie,禁⽌ JavaScript 读取某些敏感 Cookie,攻击者完成
XSS 注⼊后也⽆法窃取此 Cookie。
- 验证码
本质:使用用户的Cookie
![在这里插入图片描述](https://img-
blog.csdnimg.cn/699480be3ae5433295e24a6a24e07e23.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_Q1NETiBA5YmN56uv5ZCM5a2m,size_33,color_FFFFFF,t_70,g_se,x_16)
受害者登录A站点,并保留了登录凭证(Cookie)。
攻击者诱导受害者访问了站点B。
站点B向站点A发送了一个请求,浏览器会默认携带站点A的Cookie信息。
站点A接收到请求后,对请求进行验证,并确认是受害者的凭证,误以为是无辜的受害者发送的请求。
站点A以受害者的名义执行了站点B的请求。
攻击完成,攻击者在受害者不知情的情况下,冒充受害者完成了攻击。
POST类型的CSRF
还有兄弟不知道网络安全面试可以提前刷题吗?费时一周整理的160+网络安全面试题,金九银十,做网络安全面试里的显眼包!
王岚嵚工程师面试题(附答案),只能帮兄弟们到这儿了!如果你能答对70%,找一个安全工作,问题不大。
对于有1-3年工作经验,想要跳槽的朋友来说,也是很好的温习资料!
【完整版领取方式在文末!!】
93道网络安全面试题
![](https://img-
blog.csdnimg.cn/img_convert/6679c89ccd849f9504c48bb02882ef8d.png)
![](https://img-
blog.csdnimg.cn/img_convert/07ce1a919614bde78921fb2f8ddf0c2f.png)
![](https://img-
blog.csdnimg.cn/img_convert/44238619c3ba2d672b5b8dc4a529b01d.png)
内容实在太多,不一一截图了
黑客学习资源推荐
最后给大家分享一份全套的网络安全学习资料,给那些想学习 网络安全的小伙伴们一点帮助!
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
😝朋友们如果有需要的话,可以联系领取~
1️⃣零基础入门
① 学习路线
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图 。可以说是最科学最系统的学习路线 ,大家跟着这个大的方向学习准没问题。
![image](https://img-
blog.csdnimg.cn/img_convert/acb3c4714e29498573a58a3c79c775da.gif#pic_center)
② 路线对应学习视频
同时每个成长路线对应的板块都有配套的视频提供:
![image-20231025112050764](https://img-
blog.csdnimg.cn/874ad4fd3dbe4f6bb3bff17885655014.png#pic_center)
2️⃣视频配套工具&国内外网安书籍、文档
① 工具
![](https://img-
blog.csdnimg.cn/img_convert/d3f08d9a26927e48b1332a38401b3369.png#pic_center)
② 视频
![image1](https://img-
blog.csdnimg.cn/img_convert/f18acc028dc224b7ace77f2e260ba222.png#pic_center)
③ 书籍
![image2](https://img-
blog.csdnimg.cn/img_convert/769b7e13b39771b3a6e4397753dab12e.png#pic_center)
资源较为敏感,未展示全面,需要的最下面获取
![在这里插入图片描述](https://img-
blog.csdnimg.cn/e4f9ac066e8c485f8407a99619f9c5b5.png#pic_center)![在这里插入图片描述](https://img-
blog.csdnimg.cn/111f5462e7df433b981dc2430bb9ad39.png#pic_center)
② 简历模板
![在这里插入图片描述](https://img-
blog.csdnimg.cn/504b8be96bfa4dfb8befc2af49aabfa2.png#pic_center)
因篇幅有限,资料较为敏感仅展示部分资料,添加上方即可获取👆
网上学习资料一大堆,但如果学到的知识不成体系,遇到问题时只是浅尝辄止,不再深入研究,那么很难做到真正的技术提升。
一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!
学习计划安排
我一共划分了六个阶段,但并不是说你得学完全部才能上手工作,对于一些初级岗位,学到第三四个阶段就足矣~
这里我整合并且整理成了一份【282G】的网络安全从零基础入门到进阶资料包,需要的小伙伴可以扫描下方CSDN官方合作二维码免费领取哦,无偿分享!!!
如果你对网络安全入门感兴趣,那么你需要的话可以
点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
①网络安全学习路线
②上百份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥HW护网行动经验总结
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析