SegmentFault 技术周刊 Vol.13 - Web 安全指南（下）

最新推荐文章于 2024-10-16 17:17:42 发布

SegmentFault_Offical

最新推荐文章于 2024-10-16 17:17:42 发布

阅读量585

点赞数

文章标签： cookie 安全技术

本文链接：https://blog.csdn.net/SegmentFault_Offical/article/details/53782464

版权

weekly-vol013

针对 Web 的攻击技术：
1. HTTP 不具备必要的安全功能：从整体上看，HTTP 协议机制在如会话管理（session）、加密处理等安全性的功能缺失；
2. 在客户端即可篡改请求：通过 URL 查询字段或表单，HTTP 首部，Cookie 等途径把攻击代码传入。

针对 Web 应用的攻击模式：
1. 以服务器为目标的主动攻击：攻击者通过直接访问 Web 应用，把攻击代码传入，主要来攻击服务器上的资源，常见的如 SQL 注入和 OS 命令注入；
2. 以服务器为目标的被动攻击：利用圈套策略执行攻击代码的攻击模式，攻击者不直接对目标 Web 应用发起攻击（借刀杀人），主要攻击用户的资源和权限。通常的攻击模式如下：
- 在Web页面或邮件内设置陷阱
- 陷阱诱导
- 用户的浏览器触发事先已设好陷阱的 HTTP 请求
- 用户的浏览器运行攻击代码
- 执行攻击代码的后果是用户所持的 Cookie 等被窃取、用户权限遭到恶意滥用

被动攻击模式中具有代表性的攻击是跨站脚本攻击（XSS）和夸站点请求伪造（CSRF）。

……

安全入侵的形式那么多，到底该如何防范？！

鉴于最近杭州电信疯狂的 HTTP 劫持，我觉得了解一下基本的安全策略还是有必要的，所以有了这两期的「安全指南」。上期周刊（Vol.12 - Web 安全指南（上）），介绍了内容传输协议如何进行安全保障的方式——HTTPS。这一期，将从浏览器的安全入手，进一步完善防范的策略：

- 源与同源
- 同源策略与跨域
  - Cookie (Http-Only)
  - Ajax (CORS / JSONP)
  - iframe
- XSS (Cross-Site Script)
  - 防止 XSS 攻击 - 转义
  - HTML 转义
  - XSS-filter
- CSP (Content Security Policy)
- CSRF (Cross-Site Request Forgery)
- SQL Injection
- X-Frame-Options
- 安全相关的 HTTP 头