常见的web攻击以及防御方式

最新推荐文章于 2024-06-18 15:32:40 发布

进击的前端小白、

最新推荐文章于 2024-06-18 15:32:40 发布

阅读量624

点赞数

文章标签：前端 web安全安全

本文链接：https://blog.csdn.net/dongwei666/article/details/124536769

版权

文章目录

前言
一、XSS (跨站脚本攻击)
二、CSRF (跨站请求伪造)

前言

俗话说：“”有制造者“，“必然有破坏者”。前端web应用上线之后，不免有不怀好意的破坏者通过各种漏洞攻击你的应用，所以无论前端后端都不是一堵密不透风的墙，当然咱只了解前端哈。下面我们就来了解一下前端存在的安全问题XSS攻击。

一、XSS (跨站脚本攻击)

1.简介

XSS 是跨站脚本攻击，是一种代码注入的攻击。攻击者通过向网站注入恶意代码，当用户登录网站时就会执行这些代码，以此来获取网站的cookie，token等网站敏感信息，对用户进行钓鱼欺诈等

2.分类

存储型XSS ：将恶意代码提交到目标网站的数据库中永久存储，当用户访问网站时，从数据库取出恶意代码与HTML 拼接在一起返回给浏览器，浏览器在收到响应后解析执行，混在其中的恶意代码也同时被执行，从而达到攻击目的。

反射型XSS ：攻击者构造出带有恶意代码的URL，当用户点击带有恶意代码的URL时，服务端将恶意代码取出后，与HTML拼接在一起返回给浏览器，浏览器在收到响应后解析执行，混在其中的恶意代码也同时被执行，从而达到攻击目的。(与存储型XSS的区别就是恶意代码存放在URL上，而存储型CSS恶意代码存放在数据库中)

DOM型XSS：这种攻击与反射型XSS、存储型XSS在原理上有本质区别，它的攻击代码不需要服务器解析响应，触发XSS靠的是浏览器的DOM解析。客户端上的JS可以访问浏览器的DOM并修改页面的内容，直接从浏览器获取数据并执行。在客户端直接输出DOM内容的时候极易触发DOM型XSS攻击。例如：document.getElementByld(“x’).innerHTML、document.write)等。