常见的web攻击有哪些?如何防御?

web攻击是什么

Web攻击(WebAttack)是针对用户上网行为或网站服务器等设备进行攻击的行为,如植入恶意代码、修改网站权限、获取网站用户隐私信息等

Web应用程序的安全性是任何基于Web业务的重要组成部分

确保Web应用程序的安全十分重要,即使是代码中很小的bug也有可能导致隐私信息被泄露,站点安全就是为了保护站点不受未授权的访问、使用、修改和破坏而采取的行为或实践

常见的Web攻击有:

  • XSS (Cross Site Scripting) 跨站脚本攻击
  • CSRF(Cross-site request forgery)跨站请求伪造
  • SQL注入攻击

XSS

XSS,跨站脚本攻击,允许攻击者将恶意代码植入到提供给其他用户使用的页面中,xss涉及到三方,即攻击者、客户端与Web应用

xss的攻击目标是为了盗取存储在客户端的cookie或者其他网站用户识别客户端身份的敏感信息。一旦获取到合法用户的信息后,攻击者甚至可以假冒合法用户与站点进行交互

举个例子:

一个搜索页面,根据url参数决定关键词的内容

<input type="text" value="<%= getParameter("keyword") %>">
<button>搜索</button>
<div>
  您搜索的关键词是:<%= getParameter("keyword") %>
</div>

这里看似没有问题,但是如果不按照套路出牌呢?

用户输入:" ><script> alert('XXS');</script> ",拼接到HTML中返回给浏览器。形成了如下的HTML:

<input type="text" value=""><script>alert('XSS');</script>">
<button>搜索</button>
<div>
  您搜索的关键词是:"><script>alert('XSS');</script>
</div>

浏览器无法辨别出 <script>alert('XSS')</script> 是恶意代码,因而将其执行,试想一下,如果是获取cookie发送给黑客服务器呢?

根据攻击的来源,xss攻击可以分为

  • 存储型
  • 反射型
  • DOM 型

存储型

攻击步骤:

1. 攻击者将恶意代码提交到目标网站的数据库中

2. 用户打开目标网站时,网站服务端将恶意代码从数据库中取出,拼接在HTML中返回给浏览器

3. 用户浏览器接收到响应后解析执行,混在其中的恶意代码也被执行

4. 恶意代码窃取出用户数据并发送到攻击者的网站,或者冒充用户行为,调用目标网站接口执行攻击者指定的操作

这种攻击常见于带有用户保存数据的网站功能,如论坛发帖,商品评论,用户隐私等

反射型XSS

攻击步骤:

1. 攻击者构造出特殊的URL,其中包含恶意代码

2. 用户打开带有恶意代码的URL时,网站服务端将恶意代码从URL中取出,拼接在HTML中返回给浏览器

3. 用户浏览器接收到响应后解析执行,混在其中的恶意代码也被执行

4. 恶意代码窃取用户数据并发送到攻击者网站,或者冒充用户行为,调用目标网站接口执行攻击者指定的操作

反射性XSS跟存储型XSS的区别是:存储型的恶意代码存在数据库里,反射型的存储在URL中

反射型XSS漏洞常见于通过URL传递参数的功能如网站搜索、跳转等。

由于需要用户主动打开恶意的URL才能生效,攻击者往往会结合多种手段诱导用户点击

POST的内容也可以触发反射型XSS,只不过其触发条件比较苛刻(需要构造表单提交页面,并诱导用户点击),所以非常少见

DOM型XSS

攻击步骤:
1. 攻击者构造出特殊的URL,其中包含恶意代码

2. 用户打开带有恶意代码的URL

3. 用户浏览器接收到响应后解析执行,前端JavaScript取出URL中的恶意代码并执行

4. 恶意代码窃取用户数据并发送到攻击者网站,或者冒充用户行为,调用目标网站接口执行攻击者指定的操作

DOM型的XSS跟前两种的区别在于,DOM型的XSS中,取出和执行恶意代码由浏览器端完成,属于前端JavaScript的自身安全漏洞,而其他两种XSS都属于服务端的安全漏洞

XSS的预防

通过前面的介绍,xss攻击有两大因素

  • 攻击者提交而恶意代码
  • 浏览器执行恶意代码

针对第一个因素,我们在用户输入的过程中,过滤掉用户的恶劣代码,然后提交给后端,但攻击者绕开前端请求,直接构成请求就不能预防了

而如果在后端写入数据库之前,对输入进行过滤,然后把内容传给前端,但这个内容在不同的地方就会有不同的显式

例如:

一个正常的用户输入 5 < 7 这个内容,在写入数据库之前,被转义,就变成了 5 < 7 在客户端中,一旦经过escapeHTML() ,客户端显式的内容就变成了了乱码的(5 < 7)在前端中,不同的位置所需的编码也是不同的:

  • 当 5 < 7 作为 HTML 拼接页面时,可以正常显示:
<div title="comment">5 &lt; 7</div>
  • 当 5 < 7 通过 Ajax 返回,然后赋值给 JavaScript 的变量时,前端得到的字符串就是转义后的字符。这个内容不能直接用于 Vue 等模板的展示,也不能直接用于内容长度计算。不能用于标题、alert 等

可以看到,过滤并非可靠的,则需要通过另一个因素去防控了,防止浏览器执行恶意代码

在使用 .innerHTML 、.outerHTML、document.write() 时要注意特别小心,不要把不可信的数据作为HTML插到页面中,而尽量使用 .textContent、setAttribute()等

如果使用 Vue/React 技术栈,并且不使用 v-html / dangerouslySetInnerHTML 功能,就在前端 render 阶段避免使用 innerHTML、outerHTM 等存在XSS 隐患的方法。

DOM中内联事件监听器,如location、onclick、onerror、onload、onmouseover等,<a>标签的 href属性,JavaScript中的 evel() 、setTimeout()、setInterval()等,都能吧字符串作为代码运行,如果不可信的数据拼接到字符串中传递给这些API,很容易产生安全隐患,请务必避免

 

<!-- 链接内包含恶意代码 -->
< a href=" ">1</ a>

<script>
// setTimeout()/setInterval() 中调用恶意代码
setTimeout("UNTRUSTED")
setInterval("UNTRUSTED")

// location 调用恶意代码
location.href = 'UNTRUSTED'

// eval() 中调用恶意代码
eval("UNTRUSTED")

CSRF

CSRF(Cross-site request forgery)跨站请求伪造:攻击者诱导受害者进入第三方网站,在第三方网站中,向被攻击网站发起跨站请求

利用受害者在被攻击网站中已经获取了注册凭证,绕过后台验证,达到冒充用户对被攻击网站执行某项操作的目的

经典流程:

  • 受害者登录a.com,并保留了登录凭证(Cookie)
  • 攻击者引诱受害者访问了b.com
  • b.com 向 a.com 发送了一个请求:a.com/act=xx。浏览器会默认携带a.com的Cookie
  • a.com接收到请求后,对请求进行验证,并确认是受害者的凭证,误以为是受害者自己发送的请求
  • a.com以受害者的名义执行了act=xx
  • 攻击完成,攻击者在受害者不知情的情况下,冒充受害者,让a.com执行了自己定义的操作

crsf 可以通过get请求,即通过访问 img 页面后,浏览器自动访问目标地址,发送也是同样,也可以设置一个自动提交的表单发送 post 请求:

<form action="http://bank.example/withdraw" method=POST>
    <input type="hidden" name="account" value="xiaoming" />
    <input type="hidden" name="amount" value="10000" />
    <input type="hidden" name="for" value="hacker" />
</form>
<script> document.forms[0].submit(); </script> 

 访问该页面后,表单会自动提交,相当于模拟用户发送了一次post请求

还有一种就是通过 a 标签的,需要用户点击链接才会触发

访问该页面后,表单会自动提交,相当于模拟用户发送了一次post请求

<a href="http://test.com/csrf/withdraw.php?amount=1000&for=hacker" taget="_blank" >
    重磅消息!!
</a>

CSRF的特点

  • 攻击一般发起在第三方网站,而不是被攻击的网站。被攻击的网站无法阻止攻击的发生
  • 攻击利用受害者在被攻击网站的登录凭证,冒充受害者提交操作;而不是直接窃取数据
  • 整个过程攻击者并不能直接获取受害者的登录凭证,仅仅是冒用
  • 跨站请求可以用各种方式:图片URL、超链接、CORS、Form提交等等。部分请求可以直接嵌入在第三方论坛、文章中,难以进行追踪

CSRF的预防

CSRF通常是从第三方网站发起,被攻击网站无法防止攻击的发生,只能增强自身网站对CSRF的防护能力来提升安全性

手段如下:

  • 阻止不明外源访问
    • 同源监测
    • Samesite Cookie
  • 提交时需要附加本域才能获取信息
    • CSRF Token
    • 双重Cookie验证

这里主要讲讲token这种形式,流程如下:

  • 用户打开页面的时候,服务器需要给这个用户生成一个Token
  • 对于GET请求,Token将附在请求地址之后。对于POST请求来说,要在form的最后面加上
<input type=”hidden” name=”csrftoken” value=”tokenvalue”/>
  • 当用户从客户端得到了Token,再次提交给服务器的时候,需要判断Token的有效性

SQL注入

SQL注入攻击,是指通过恶意的sql查询或者添加语句插入到应用的输入参数中,再在后台Sql服务器上解析执行攻击

 

流程如下所示:

  • 找出SQL漏洞的注入点

  • 判断数据库的类型以及版本

  • 猜解用户名和密码

  • 利用工具查找Web后台管理入口

  • 入侵和破坏

预防方式如下:

  • 严格检查输入变量的类型和格式
  • 过滤和转义特殊字符
  • 对访问数据库的Web应用程序采用Web应用防火墙

上述只是列举了常见的web攻击方式,实际开发过程中还会遇到很多安全问题,对于这些问题, 切记不可忽视

参考文献

  • https://tech.meituan.com/2018/09/27/fe-security.html
  • https://developer.mozilla.org/zh-CN/docs/learn/Server-side/First_steps/Website_security
参与评论 您还未登录,请先 登录 后发表或查看评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
©️2022 CSDN 皮肤主题:深蓝海洋 设计师:CSDN官方博客 返回首页

打赏作者

青灯夜游/

你的鼓励将是我创作的最大动力

¥2 ¥4 ¥6 ¥10 ¥20
输入1-500的整数
余额支付 (余额:-- )
扫码支付
扫码支付:¥2
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值