前端安全问题

1.XSS攻击（跨站脚本攻击）

攻击者将可执行代码植入网页。

例如可以在评论页面插入代码：

      <script>alert('你被攻击了')</script>

危害性：

• 用户的数据可能被窃取
• 强行改变程序的执行方式

分类：

• 反射型XSS(非持久型) 攻击步骤：

1. 攻击者构造出特殊的 URL，其中包含恶意代码。
2. 用户打开带有恶意代码的 URL 时，网站服务端将恶意代码从 URL 中取出，拼接在 HTML 中返回给浏览器。
3. 用户浏览器接收到响应后解析执行，混在其中的恶意代码也被执行。
4. 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

• 存储型XSS（持久型XSS）攻击步骤:

1. 攻击者将恶意代码提交到目标网站的数据库中。
2. 用户打开目标网站时，网站服务端将恶意代码从数据库取出，拼接在 HTML 中返回给浏览器。
3. 用户浏览器接收到响应后解析执行，混在其中的恶意代码也被执行。
4. 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

反射型 XSS 跟存储型 XSS 的区别是：存储型 XSS 的恶意代码存在数据库里，反射型 XSS 的恶意代码存在 URL 里。

XSS解决：

• 首先是过滤。对诸如<script>、<img>、<a>等标签进行过滤。
• 其次是编码。像一些常见的符号，如<>在输入的时候要对其进行转换编码，这样做浏览器是不会对该标签进行解释执行的，同时也不影响显示效果。
• 最后是限制。通过以上的案例我们不难发现xss攻击要能达成往往需要较长的字符串，因此对于一些可以预期的输入可以通过限制长度强制截断来进行防御。

2.CSRF（跨站请求伪造）

攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。

流程：

• 受害者登录a.com，并保留了登录凭证（Cookie）。
• 攻击者引诱受害者访问了b.com。
• b.com 向 a.com 发送了一个请求：a.com/act=xx。浏览器会默认携带a.com的Cookie。
• a.com接收到请求后，对请求进行验证，并确认是受害者的凭证，误以为是受害者自己发送的请求。
• a.com以受害者的名义执行了act=xx。
• 攻击完成，攻击者在受害者不知情的情况下，冒充受害者，让a.com执行了自己定义的操作。

防御手段：

• 尽量使用post，限制get
• 对于重要的操作，如转账等，加验证码
• Anti CSRF Token ：服务端生成一个Token放在用户的session或者浏览器的cookie中，在页面表单中带上Token的参数，在提交后与后端Token进行比对，一致方为合法。

3.点击劫持

 点击劫持是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe，覆盖在一个网页上,然后诱使用户在该网页上进行操作,此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置,可以诱使用户恰好点击在iframe页面的一些功能性按钮上。

 

防御手段：

• 通过js代码，禁止iframe的嵌套如：

      if (top.location!=location){
          top.location=self.location   
      }

         此种方式的缺点是，由于其用js编写，控制能力不是很强，有很多方法可以绕开它。

• 设置http头X-Frame-Options。当值为DENY时，浏览器会拒绝当前页面加载任何frame页面;若值为SAMEORIGIN,则frame页面的地址只能为同源域名下的页面;若值为ALLOW-FROM，则可以定义允许 frame加载的页面地址。

 

 

 

参考资料：

https://segmentfault.com/a/1190000016551188

https://segmentfault.com/a/1190000016659945