浏览器中的安全策略——系统安全、网络安全、页面安全

本文链接：https://blog.csdn.net/wuli1024/article/details/134967835

浏览器中的安全，可以按照系统安全、网络安全、页面安全三个方面来了解。

浏览器系统安全

谁也无法保证浏览器自身不存在漏洞，浏览器在执行前又无法分辨从网络拿到的资源是否安全，而操作系统的各种权限让网络资源接触到是有风险的，因此默认所有网络资源都是不可信的。

现代浏览器早已经拥抱了多进程的架构，从输入 url 到页面展示，浏览器中多个进程通力合作，让用户看到一个期望的图像，其中最重要的一个进程，渲染进程，是执行网络资源的关键进程，因此浏览器通过安全沙箱，把渲染进程包了起来。

安全沙箱

安全沙箱最小的保护单位是进程，安全沙箱会限制进程对操作系统资源的访问／修改。

在这里插入图片描述

需要注意的是，tab 和渲染进程并不是一对一的关系：

在这里插入图片描述

同一站点的意思是，协议和根域名相同，与同源相比，判断条件宽松许多；而连接关系的意思是，b 页面是在 a 页面中通过 window.open ——此时可以在 a 中使用 window.open 的返回控制 b 页面；或者 a target=“_blank” ——此时可以在 b 中通过 window.opener 控制 a ——的方式打开的。

→点击获取网络安全资料·攻略←

200多本网络安全系列电子书
网络安全标准题库资料
项目源码
网络安全基础入门、Linux、web安全、攻防方面的视频
网络安全学习路线图

网络安全

http 生来为传输 html ，但随着 web 的发展，http 的功能越来越不够用，伴随着功能上的完善，网络安全问题也成为重要研究对象。

http 的风险有三点：

窃听风险：第三方可以获知通信内容
篡改风险：第三方可以修改通信内容
冒充风险：第三方可以冒充他人身份参与通信

为此， TCP 和 HTTP 之间被插入一个安全层，所有经过的数据会被加密／解密。

在这里插入图片描述

接入了安全层的 http 变成了 https ，它的特点有：

所有信息都是加密传播，第三方无法窃听。
具有校验机制，一旦被篡改，通信双方会立刻发现。
配备身份证书，防止身份被冒充。

怎么实现呢？

https 加密过程

在这里插入图片描述

一个重要的规则是，公钥加密的数据只有私钥能解密。

公钥是明文的，黑客容易破解，但私钥只有服务器有，而 pre-master 是公钥加密生成的，因此只有服务器能破解。最终的 master secret 有了 pre-master 的参与，数据发送和接受了都很安全。

而且，只需要进行一次非对称加密就可以了，传输效率也比较高。

当然，黑客服务器自己生产公钥私钥，客户端可能进入假的页面。服务器怎么证明自己是真实合法的呢？数字证书。

CA 证书

CA是一个机构，它的职责是给一些公司或者个人颁发数字证书。

数字证书需要申请，流程如下：

在这里插入图片描述

CA 审核是线上线下结合的，很多时候线下审核依赖本地政策，于是现实中需要分级治理，进而形成了一个 CA 链。浏览器验证的时候会沿着 CA 链向上寻找，直到根 CA：

在这里插入图片描述

即便黑客伪造了服务器，但是由于证书是没有办法伪造的，无法欺骗用户。

页面安全

页面经过 https 请求资源、安全沙箱渲染出来，执行脚本时，可能会有一些恶意脚本被执行；或者，用户受到诱惑，点击了一些通往恶意站点的链接时，可能出现什么情况呢？

DOM、CSSOM 被修改
用户行为受到监听
敏感信息遭到劫持
Cookie、indexDB 等数据被读取、上传、使用
用户请求被伪造

没有安全保障的 web 世界很可怕，无序、充满陷阱。而页面中最基础、最核心的安全策略是什么？

同源策略（ Same-origin policy ）。

不同源的 js 脚本无法读写当前页面的 DOM；不同源的 js 脚本无法读取当前页面的 Cookie、IndexDB、LocalStorage 等；不同源的 XMLHttpRequest 访问无法进行。

这样一来，很多正常的事情也变得不太方便了，比如 cdn 资源请求。因此为了一些便利性，同源策略给第三方资源发了通行证，这样一来，安全问题产生了。

典型的安全攻击有：XSS （Cross-site script）和 CSRF （Cross-site request forgery，跨站请求伪造）。

顾名思义，前者以插入脚本读取敏感为主，后者则非法使用 cookie 伪造用户请求达到不可告人的目的。

XSS 攻击

三种常用的 XSS 攻击方法。

存储型，可能是利用内容管理系统的漏洞，向服务器发送了恶意代码：

在这里插入图片描述

反射型，与存储型 xss 攻击不同的是，服务器不存储恶意代码：

在这里插入图片描述

基于 DOM 的攻击：

在这里插入图片描述

那如何阻止 XSS 攻击呢？

服务器对输入的脚本进行过滤／转码
使用 CSP （内容安全策略）让服务器决定浏览器可以加载哪些资源，执行哪些脚本。

CSP 不仅可以规定资源来源，还可以禁止脚本向第三方提交数据，同时在出现异常时，也能向维护人员及时上报异常。

CSRF 攻击

在这里插入图片描述

CSRF 攻击不需要在页面中注入脚本，而是利用用户的登录状态和服务器的漏洞，通过第三方站点做一些坏事，比如自动转发邮件，转账等等，但是有两个前提：

1、服务端有漏洞；2、用户要点击黑客页面的链接。

举个例子，如下代码的页面被加载时，浏览器会自动发起 img 的资源请求，如果服务器没有对请求类型做判断，把图片资源当作 xhr 请求处理了，钱就被转走了：

<!DOCTYPE html>
<html>
  <body>
    <img src=“https://www.pay.com/sendmoney?user=badbuys&number=1个亿” />
  </body>
</html>

或者点击恶意链接，如下代码的页面被加载时，表单会被自动执行提交：

<!DOCTYPE html>
<html>
  <body>
    <form id=“terrible-form” action=““https://www.pay.com/sendmoney” method=“POST”>
      <input type=“hidden” name=“user” value=“badbuys” />
      <input type=“hidden” name=“number” value=“1个亿” />
    </form>
    <script>document.getElementById(‘terrible-form’).submit();</script>
  </body>
</html>

又或者一个诱惑链接：

<!DOCTYPE html>
<html>
  <body>
    <img src=“一个很性感的美女” />
    <a href=“https://www.pay.com/sendmoney?user=badbuys&number=1个亿”>点击下载美图图片</a>
    <a href=“https://www.pay.com/sendmoney?user=badbuys&number=2个亿”>点击和美女视频聊天</a>
  </body>
</html>

如何防止 CSRF 攻击呢？

我们需要提升服务器的安全性。

从第三方站点发送请求时，禁止发送 Cookie —— set-cookie 中设置 SameSite 为 Strict
验证请求的来源站点 —— 通过 Request Header: Referer || Origin
CSRF Token 验证，服务器要求所有请求必须携带 CSRF Token ，第三方无法拿到 Token ，伪造的请求会被拒绝访问

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；
国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。
在这里插入图片描述

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。