WEB常见攻击手段

昨天，学习了一下web常见攻击手段,记录一下，以便日后查看

1. XSS

	全称：**跨站脚本攻击**（cross site script）
	为了不与css名称冲突，简写为XSS

在web页面中，嵌入一些恶意的脚本，用户浏览网页时，就会执行脚本代码
以XSS方式在web页面上写一些js脚本执行恶意的操作

1.1XSS攻击的危害

		(1).盗取用户的账号，用户的，管理员	
		(2).控制了企业的管理数据，读取，篡改，删除数据等等
		(3).盗取公司商业机密数据
		(4).非法转账
		(5).恶意发送广告、电子邮件
		(6).控制受害者的机器、向其他的网站发起攻击

1.2.XSS攻击分类

			(1).基于本地DOM发起攻击
			a给b发送了一个恶意url链接，向dom中注入恶意代码
			(2).反射式
			服务器端没有进行数据过滤、验证、编码等安全操作，直接返回给前端就会引起漏铜出现
			a给b发送了一个恶意url链接
			b打开url链接，进入目标网站，服务器端没有安全处理，又将数据传给前端
			b浏览器 接受返回的信息，就会执行此恶意代码
			
			(3).存储式	持久性攻击
			类似反射式，把未经处理的数据存储到数据库中，危害性更大，涉及面积更广
			a提交恶意代码到目标网站数据库中
			b打开目标网站时，服务器端会将数据库中保存的恶意代码，返回给浏览器
			b的浏览器会解析执行此恶意代码

1.3.XSS攻击方式

		1.所有用户输入的地方，都有风险
		2.script嵌套js代码
		3.包含href属性和src属性
		4.利用事件、onload、onscroll
		5.利用样式，background-images
		6.URL参数
		7.Cookie

1.4防御方式

	   (1)设置cookie httponly 禁止脚本读取信息
	   (2)xss过滤器
			验证用户输入的数据
			过滤一些危险的信息
			移除script和iframe标签
			移出特殊的js代码，事件

2.CSRF

全称：跨站请求伪造（cross site request forgery）
xss是利用站点信任的用户
csrf是伪装成受信任的用户

2.1CSRF攻击流程

	1.用户登录a.com，保留的登录的信息
	2.攻击者有盗取用户点击恶意链接，访问了恶意网站的b.com
	3.b.com在用户不知情的情况下，向a.com 发送恶意请求，携带用户的登录信息
	4.a.com会认为b.com是当前登录的用户，执行此恶意请求的操作
	5.攻击者就在用户不知情的清况下完成了攻击操作

2.2防御

	1.验证码、短信验证
	2.同源限制、不是同源的就拒绝执行
	3.token验证