浏览器的几种防护策略

程序员--青青

已于 2024-01-17 22:26:56 修改

阅读量908

点赞数 14

文章标签：安全服务器

于 2024-01-12 21:30:00 首次发布

本文链接：https://blog.csdn.net/ZL_1618/article/details/135500395

版权

前言

近年来人们发现浏览器才是互联网最大的入口，绝大数用户使用互联网工具是浏览器，因此浏览器如果具备安全功能，将很好的保护用户上网。

一、同源策略

1、什么是同源策略

同源策略（Same Origin Policy)是一种约定，他是浏览器最核心也是最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能受到影响，可以说web的构建实在同源策略的基础之上的，浏览器只是针对同源策略的一种实现表示。

浏览器的同源策略，限制了来自不同源的文件或脚本，对当前的文件读取或者设置某些属性。

如果没有同源策略，假设a.com有一段javascript脚本，在b.com未曾加载此脚本时，a.com可以随意修改b.com的页面（在浏览器的显示中）。为了不让浏览器的页面行为发生混乱，浏览器提出“Origin”（源）这的概念，来自不同源的对象无法互相干扰。

对于js来说，认为同源不同源的实列：

url	结果	原因
stroe.shen.com/dir2/index.…	同源
stroe.shen.com/dir/inner/a…	同源
stroe.shen.com/test2.html	不同源	不同的协议
stroe.shen.com:81/dir/inner/a…	不同源	不同的端口
new.shen.com/dir/inner/a…	不同源	不同的主机

影响源的因素有：域名、IP地址、子域名、端口、协议

【一>所有资源获取<一】 1、200份很多已经买不到的绝版电子书 2、30G安全大厂内部的视频资料 3、100份src文档 4、常见安全面试题 5、ctf大赛经典题目解析 6、全套工具包

注意：

对于当前页面来说，页面中存放js文件的域并不重要，重要的时加载js页面的域时什么。

简单来说，1.com通过以下代码：

<script src=http://2.com/2.js></script>

加载了2.com上的2.js，但是2.js是运行在1.com页面中的，因此对于当前打开的页面（1.com）来说。2.js的源就是应该是1.com。

2、XMLHttpRequest同源策略

XMLHttpRequest 对象提供了对 HTTP 协议的完全的访问，包括做出 POST 和 HEAD 请求以及普通的 GET 请求的能力。XMLHttpRequest 可以同步或异步地返回 Web 服务器的响应，并且能够以文本或者一个 DOM 文档的形式返回内容。

原理

在浏览器中

而对于XMLHttpRequest来说，它可以访问来自同源对象的内容。但不能跨域访问资源。

后来w3c委员会制定XMLHttpRequest跨域访问标准。需要通过目标域返回的HTTP头来授权是否允许跨域访问，因为http头对于js来说一般时无法控制的。这个跨域方案的安全基础就是信任”js无法控制http头“。

Origin字段用来说明，本次请求来自哪个源（协议 + 域名 + 端口）。服务器根据这个值，决定是否同意这次请求。 Access-Control-Allow-Origin它的值要么是请求时Origin字段的值，要么是一个*，表示接受任意域名的请求。

3、Flash插件同源策略

对于浏览器来说，除了DOM、Cookie、XMLHttpRequest会受到同源策略的限制，浏览器的一些第三方插件也可以有不紫的同源策略，常见的一些插件如Flash、java Applet等。

原理

Flash它主要通过目标网站提供的crossdomain.xml文件判断是否允许当前源的Flash跨域访问目标资源。

假设www.test.com的策略文件为例,当浏览器在任意其他域的页面加载了Flash后，如果对www.test.com发起访问，Flash会检查www.test.com上策略文件是否存在。如果文件存在，则检查发起的请求的域是否在许可范围内。

<?xml version="1.0"?>
<cross-domain-policy>
<allow-access-from domain="*.test.com" />
<allow-access-from domain="*.test.net" />
<allow-access-from domain="*.test2.com" />
<allow-access-from domain="*.test.cn" />
<allow-access-from domain="*.test1.com" />
</cross-domain-policy>

在上面的策略文件中,只有在allow-access-from标签内的域的情况是被允许的。

Flash9及其之后的版本，还通过MINE检查确定crossdomain.xml是否合法，比如查看服务器返回的http头的Content-Type是否是test/*、application/xml等。攻击者可以通过上传crossdomain.xml文件控制flash的行为，绕过同源策略，出了MIME检查外，Flash还会检查crossdomain.xml是否在根目录下，也使得一些上传文件的攻击失效。

4、IE8的CSS跨域漏洞测试

浏览器的同源策略也是可能存在问题了，我们可以通过绕过等方式，下面我们在测试一下IE8的CSS跨域漏洞

A服务器部署

http://192.168.163.131/a.html

<body>
{}body{font-family:
yyyyyyyyyyyyyyy
bbbbbbbbbbbbbbb
</body>

B服务器部署

http://192.168.163.132/b.html

<style> @import url("http://192.168.163.131/a.html"); </style>
<script> setTimeout(function(){
var a = document.body.currentStyle.fontFamily;
alert(a);
},2000); </script>

使用IE8及以下版本浏览器访问http://192.168.163.132/b.html，测试

我们看到弹出a.html中的内容，理论var x=document.body.currentStyle.fontFamily;可以把{}body{font-family:"之后的所有内容存到x中，再由alert弹出。

前面我们提到等标签仅能加载资源，但是不能读写资源的内容，而这个漏洞能实现跨域读取页面内容。具体怎么利用就仁者见仁智者见智了。

二、恶意网站拦截

1、恶意网站拦截原理

在网页中插入一段恶意代码，利用浏览器漏洞执行任意代码的攻击方式，被称为“挂马”。

挂马攻击能够破坏浏览器的安全，在很多时候，挂马攻击实施时会在一个正常网页通过

挂马网站：通常包含恶意的脚本如js或Flash,利用浏览器漏洞执行shellcode。

诈骗钓鱼网站：模仿知名网站的相似页面来欺骗用户。

目前浏览器推出的拦截恶意网站的功能大多时基于黑名单的方式，浏览器周期性从服务器获得一份最新的恶意网站黑名单，如果用户上网访问的网站在黑名单里，浏览器就会弹出一个告警界面。

PhishTank是互联网免费提供恶意网站黑名单的组织之一。

https://phishtank.org/index.php

2、EVSSL证书简述

EV SSL，也称EV SSL证书，英文全名为：Extended Validation SSL Certificate，就是全球领先的数字证书颁发机构和主流的浏览器开发商共同制定的一个新的SSL证书严格身份验证标准，

增强型 SSL 证书（EVSSL）是最高级别的 SSL 数字证书。EVSSL最大的特色便是激活网站浏览器的栏位使其变成绿色，利用鲜明的标示告诉网友：这个网站正受到最严密的信息安全防护

同时EVSSL证书遵循X509标准，并向前兼容普通证书，如果浏览器不支持EV模式，则把该证书当前普通证书，如果浏览器痔疮，则会在地址栏中特别标记。

在IE浏览器中存在EV证书的效果：

在IE浏览器中不存在EV证书的效果：

我们可以通过绿色表现以对抗钓鱼网站。

三、内容安全策略（CSP）

1、内容安全策略（CSP）原理

随着web风险逐步严重，缓解跨脚本攻击问题，浏览器引入了内容安全策略（CSP）的概念，

简单来说：开发者明确告诉客户端（指定比较严格的策略和规则），那些外部资源可以加载和执行的，即使攻击者发现漏洞，但是他是没办法注入脚本的。

开发人员可以使用这种工具以各种方式锁定其应用程序，降低内容注入漏洞（如跨站点脚本）的风险，并降低其应用程序执行的权限

2、如何启用CSP

通过 HTTP 头信息的Content-Security-Policy的字段

Content-Security-Policy: policy

其中policy的描述机器灵活。

范例1：

Content-Security-Policy: allow 'self' *.qq.com

浏览器信任来自qq.com及其子域下的内容。

范例2：

Content-Security-Policy: 
allow 'self'; 
img-src *;
 media-src qq.com; script-src test.com

浏览器除了信任自身来源外，还可以加载任意域的图片、来自qq.com的媒体文件和来自test.com的脚本，其他的一律拒绝。

四、总结

浏览器是互联网的重要入口，在web安全事件层出不穷的现在，浏览器的安全更是重中之重，浏览器安全以同源策略为基础，加深理解同源策略才能把握住浏览器安全的本质，本章节我们详细介绍了同源策略的原理和内容安全策略（CSP）并对浏览器拦截恶意网站的原理进行分析。接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。

程序员--青青

关注

14
点赞
踩
22

收藏

觉得还不错? 一键收藏
0
评论
浏览器的几种防护策略

同源策略（Same Origin Policy)是一种约定，他是浏览器最核心也是最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能受到影响，可以说web的构建实在同源策略的基础之上的，浏览器只是针对同源策略的一种实现表示。浏览器的同源策略，限制了来自不同源的文件或脚本，对当前的文件读取或者设置某些属性。如果没有同源策略，假设a.com有一段javascript脚本，在b.com未曾加载此脚本时，a.com可以随意修改b.com的页面（在浏览器的显示中）。
复制链接

扫一扫