yii2框架开发之安全xss、csrf、sql注入、文件上传漏洞攻击

常见的漏洞攻击：

1、xss：是跨站脚本攻击

    分3类：1、存储型2、反射型3、蠕虫型

2、csrf：是跨站请求伪造攻击

    分2类：1、get型2、post型

3、sql注入

4、文件上传

xss攻击：

xss攻击可以：盗取用户账号、也可以盗取后进行非法转账、还可以篡改系统信息、网站挂马等

存储型xss

下面我们来看下盗号代码（存储型xss）：

1、通过在浏览器f12 console中输入：

2、document.cookie获取得到的cookie是什么样的

提示：如果对cookie有什么不理解的，可以参考我这篇博客http://blog.csdn.net/qq_33862644/article/details/78944811

3、盗号的原理：

第1次发送请求。服务器响应的时候，会把session中的字符串带上返回，存储到浏览器的cookie中

第2次发送请求，会带上cookie（存储服务器带过来的字符串）去服务器的session中找，看是哪一个用户发送的请求

4、寻找登录用的cookie

5、怎么防止利用cookie来进行盗号攻击呢？

设置cookie的时候加上httponly。可以使用php可以使用内置的setcookie()

下面我们来看下非法转账（存储型xss）：

1、思路： 将非法转账的代码注入到，其他用户的转账界面，就会运行document.cookie 代码

2、哪一段js代码能够自动转账

通过浏览器f12查看他的html结构，然后自己模拟收款人的信息，通过点击事件进行转账

3、如何把js注入到转账页面

思路：在后台注入（如 博客后台发文章的编辑器中，别人一但浏览文章，就会中招）

注意：想注入到别人的后台，需要使用反射型的xss攻击

反射型的xss

4、使用反型的xss（请ctrl+f 存储型和反射行xss的区别）

根据后台页面的地址，构建非法链接

找一些博客或论坛写帖子。把链接隐藏放到帖子中（不要问我怎么隐藏，使用a标签就可以）

勾引其他用户点击链接。当其他用户点击链接后跳转到他自己的转账页面，如果链接参数上带我们伪造的非法参数，该js能够运行，就可以对他进行攻击

5、当然，支付公司也不傻，人家肯定有代码反射（就是有防范）

6、人家防我们就攻咯

他给转成url编码了（想快速知道实体编码和url编码的区别，请ctrl+f