Web漏洞以及其防御的手段

常见的漏洞分为两类，分别是通用型漏洞和逻辑型漏洞

通用型漏洞包括：SQL注入攻击、XSS跨站攻击、CSRF攻击
逻辑型漏洞包括：水平越权攻击以及垂直越权攻击

SQL注入：

定义：是指输入的字符串中注入SQL指令，在设计不良的程序当中忽略了检查，那么这些注入进去的指令就会被数据库服务器误认为是正常的SQL指令而运行，因此遭到破坏或者入侵

攻击者能够在存在的漏洞接口提交数据

攻击流程：
攻击者在测试接口存在SQL注入漏洞后，可使用自动化工具，将数据库的数据全部导出到本地或进行任何破坏性的操作

修复的建议：

1. 过滤用户的输入，过滤一些字段，包括select、insert、and、update、delect、drop、truncate
2. 使用预编译指令，mysql中指令是与数据分离的
   prepare阶段：将需要执行的sql语句传输给mysql
   execute阶段：将数据发送给mysql，mysql执行查询操作并将结果返回
3. 使用成熟的ORM框架

XSS攻击：

定义：是一种网站应用程序的安全漏洞攻击，是代码注入的一种，攻击者通过巧妙的方法注入恶意指令代码到网页，使用用户加载并执行其恶意制造的网页程序

反射型XSS：
也称作非持久型XSS，此类型最为常见，攻击者通过可构造一个包含恶意代码的url欺骗受害者的访问，当恶意网站被打开则执行这段代码。
危害： 弹窗、操作cookie、构造网络请求GET、POST

解决办法：

1. 输入过滤：永远不要相信用户输入是规范的，对用户输入的数据严格过滤
2. 输出检查：在输出时对数据进行检查处理
3. 在HTTP中设置HTTPonly字段，禁止访问带有HTTPonly属性的cookie

存储型XSS：
定义：也称作持久型XSS，攻击者将恶意代码储存到服务器，当其他用户浏览到相关页面时，服务端会从数据库或者其他地方将恶意代码读取出来加载到前端，这样受害者的浏览器就会执行这段恶意代码

DOM型XSS：
定义：对不可信的数据，比如url中的参数未经处理则进行dom操作，则可能造成恶意代码执行从而造成dom型xss攻击

Flash型XSS：
定义：是嵌入HTML的Flash可以执行的脚本引起的

CSRF跨站点伪造请求：

需要用户在已经登录的状况下，攻击者利用了cookie

1. 用户C打开浏览器，访问受信任的网站A，输入用户名和密码，请求登录网站A
2. 用户通过验证后，网站A产生的cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A
3. 用户未退出网站A之前，同一浏览器中，打开一个浏览器，打开一个页面TAB访问网站B
4. 网站B接受到请求以后，返回一些攻击性代码

防御手段：
5. 敏感请求使用post方法，添加csrf-token，如在form表单中添加隐藏字段crsf-token，随机的
6. 在HTTP请求中自定义属性，如x-csrf-token，发起Ajax请求时携带该属性
7. 校验Refer字段
8. 使用验证码

命令注入：
在代码中调用系统命令
解决办法：文件名随机化

逻辑性漏洞

1. 水平权限越权
   攻击者抓包以后对ID进行逆向，分析出受害者的信息，假如A和B同属于一个角色，拥有相同的等级权限，他们能分别获取各自的数据，但是后端没有对数据进行校验，但是后端没有对数据进行对应的细分，导致A能访问B的数据

2. 垂直越权
   由于后台没有权限控制，或者仅在菜单上权限控制，用户只要猜测一下就可以实现其他角色的访问，实现权限的提升

防御方法：

1. 构建一些轻量级的风险模块：频次限制、行为抽象、异常流量报警
2. 监控可视化