HTTP——Web常见安全问题和防御

最新推荐文章于 2024-03-15 16:12:52 发布

想成为大佬的鸭子

最新推荐文章于 2024-03-15 16:12:52 发布

阅读量437

点赞数

分类专栏： HTTP 文章标签： http web安全 XSS CSRF

本文链接：https://blog.csdn.net/weixin_41309331/article/details/120165925

版权

4 篇文章 0 订阅

订阅专栏

Web中常见的安全问题有

原理:就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令
防御:
1. 对用户的输入进行校验,如通过正则表达式进行限制;
2. 避免动态拼装SQL,可以使用参数化的SQL或者直接使用存储过程进行数据查询存取;
3. 避免使用管理员权限的数据库连接,为每个应用使用单独的权限有限的数据库连接;
4. 避免把机密信息明文存放;

XSS即跨域脚本攻击(cross-site scripting),是一种网站应用程式的安全漏洞攻击,是代码注入的一种.

CSRF即跨站请求伪造(cross-site request forgery)

原理:

从上图可以看出,要完成一次CSRF攻击,受害者必须满足两个必要的条件:
1. 登录受信任网站A,并在本地生成cookie.(如果用户没有登录网站A,那么网站B在请求网站A的接口时,会诱导用户登录A)
2. 在不登出A的情况下,访问危险网站B.(其实是利用了网站A的漏洞)
防御:
1. Token验证:(最常用)
  - 服务器发送给客户端一个Token
  - 客户端提交的表单中带着这个Token
  - 如果这个Token不合法,服务器就拒绝这个请求
2. 隐藏令牌:
  
  把Token隐藏在Http的Head头中.隐藏令牌和Token验证有点像,本质上没有太大区别,只是使用方式上有区别.
3. Referer验证:
  
  Referer指的是页面请求来源.意思是,只接受本站的请求,服务器才做响应.如果不是,就拦截.

XSS和CSRF的区别

区别一:

XSS不需要登录
CSRF需要用户先登录网站A,获取cookie

区别二:

XSS是向网站A注入JS代码并执行,篡改网站A的内容
CSRF是利用网站A本身的漏洞,去请求网站A的接口

原理:

点击劫持是一种视觉欺骗的攻击手段.攻击者将需要攻击的网站通过iframe嵌套的方式嵌入自己的网页中,并将iframe设置为透明,在页面中透出一个按钮诱导用户点击.
防御:
1. X-FRAME-OPTIONS
  
  X-FRAME-OPTIONS是一个Http响应头,这个响应头就是为了防御用iframe嵌套的点击劫持攻击.
  
  X-FRAME-OPTIONS有三个值可选,分别是
  - DENY,表示页面不允许通过iframe的方式展示
  - SAMEORIGIN,表示页面可以在相同域名下通过iframe的方式展示
  - ALLOW-FROM,表示页面可以在指定来源的iframe中展示
2. JS防御
  
  对于不兼容X-FRAME-OPTIONS的浏览器,只能通过JS的方式来防御点击劫持
```
<head>
  <style id="click-jack">
    html {
      display: none !important;
    }
  </style>
</head>
<body>
  <script>
    if (self == top) {
      var style = document.getElementById('click-jack')
      document.body.removeChild(style)
    } else {
      top.location = self.location
    }
  </script>
</body>
```
  以上代码的作用就是当通过iframe的方式加载页面时,攻击者的网页直接不显示所有内容了

另外,为了区分用户是计算机还是全自动程序,通过网页验证码来防止恶意破解密码,刷票,论坛灌水等.

网页验证码能有效防止黑客对某一个特定注册用户用特定程序暴力破解方式进行不断的登录尝试.

关注