web服务端安全漏洞

无极之岚

已于 2024-07-14 12:03:12 修改

阅读量483

点赞数 20

文章标签： web安全安全

于 2024-07-14 10:46:43 首次发布

本文链接：https://blog.csdn.net/qq_28722667/article/details/140413408

版权

跨站脚本攻击（XSS）（cross site scripting）

存储型XSS攻击

常见的就是富文本编辑器保存的html，需要到页面上渲染，如果保存了钓鱼网站的超链接，或者恶意引导，则渲染时会触发xss攻击。

反射型XSS攻击

隐藏在url链接中点击后执行js脚本

DOM型XSS攻击

在url中构建dom元素

预防XSS

cookie设置httponly，js脚本就无法获取cookie。设置X-Frame-Options响应头阻止自己作为frame加载，并且加载frame。进制使用on事件，比如onclick、onerror等。重点在富文本编辑器上，vue项目则要注意使用v-html标签，最好使用v-dompurify-html来预防。前端也有专用的xss组件。

tip：pdf中也有可能带有xss攻击

CSP（content security policy）内容安全策略

CSRF 跨站请求伪造( cross site request forgery )

一种可以被攻击者用来通过用户浏览器冒充用户身份向服务器发送伪造请求并被目标服务器成功执行的漏洞被称之为CSRF漏洞

在A网站产生了可信任的cookie，同tab页中打开网站B，通过诱导发起A网站的请求，自然携带了A站点的cookie完成跨域

预防

校验referer、origin等请求头

URL跳转漏洞

URL跳转漏洞(URL重定向漏洞)，跳转漏洞一般用于钓鱼攻击。如：https://link.zhihu.com/?target=https://edu.lagou.com/

一般网站都有些重定向能力，方便跳转到第三方网页，那么恶意网站就可以构造链接，如https://www.qq.com/?returnTo=恶意网站 一般会在OAuth2的登录跳转中中招，常见的参数值有return、 redirect、url、jump、goto、target、link等

预防

校验实际跳转链接，或者像知乎和简书一样，一旦识别到非自己的域名，开始预警跳转不安全的网站xxx。

Session劫持

攻击者获取SessionID的方式有多种:
1、暴力破解:尝试各种Session ID，直到破解为止;
2、预测:如果Session ID使用非随机的方式产生，那么就有可能计算出来; 3、窃取:使用网络嗅探、本地木马窃取、XSS攻击等方法获得。
和csrf有异曲同工之妙。

注入攻击

SQL注入

懂的都懂，外部传入引号让sql执行 or 1=1 后面输入想查询的条件。预防措施就是mybatis的$和#的区别，死去的回忆又侵袭而来。

正则注入-- REDOS攻击

REDOS 攻击即正则表达式拒绝服务攻击（Regular Expression Denial of Service），是指攻击者利用正则表达式的回溯机制，构造特殊的字符串，导致正则表达式运行时消耗大量的内存和 CPU 资源，从而使服务器无法正常响应。

日志注入

如果直接把外部输入进行打印，则可能会出现日志注入，大量的换行放大日志文件大小，影响磁盘容量。

以下是两个可能会造成ReDoS攻击的正则表达式示例：
1. `^(\d+)+$`：这个正则表达式用于匹配一个或多个数字。然而，如果输入的字符串非常长，例如包含大量数字，正则表达式的匹配过程可能会变得非常复杂，导致回溯次数增加，从而消耗大量的计算资源。
2. `(a+)+b`：这个正则表达式用于匹配一个或多个`a`后面跟着一个`b`。如果输入的字符串中包含大量的`a`，正则表达式的匹配过程可能会因为回溯而变得非常耗时，从而导致ReDoS攻击。