什么是Web安全
前言
Web安全主要有如下几大分类
XSS
CSRF(跨站请求伪造)
SQL注入
命令行注入
DDos注入
流量劫持
XSS
非持久型XSS(反射型)漏洞
简介
攻击者通过给别人发送带有恶意脚本代码参数的URL,当URL地址被打开时,特有的恶意代码参数被HTML解析、执行,从而达到攻击目的(获取用户信息,侵犯隐私)
特点
注入方式不是来源与URL,通过后端从数据库读取数据。不需要诱骗点击,只要求攻击者在提交表单的地方完成注入即可
解决方法
Web页面渲染所有内容或渲染的数据必须来源于服务器
不要从 URL,document.referrer,document.forms 等这种 DOM API 中获取数据直接渲染
尽量不要使用 eval, new Function(),document.write(),document.writeln(),window.setInterval()window.setTimeout(),innerHTML,document.creteElement() 等可执行字符串的方法
需要对DOM渲染方法传入的字符串参数做escape转义
持久型XSS(存储型)漏洞
简介
一般存在与form提交表单之中,如留言,提交文本。攻击者利用XSS漏洞,将脚本内容经过正常功能提交进入数据库永久保存,当前端获得后端从数据库中读出的注入代码时,将其渲染执行
特点
注入方式不是来源与URL,通过后端从数据库读取数据。不需要诱骗点击,只要求攻击者在提交表单的地方完成注入即可
成功条件
POST请求提交表单没有经过转义直接入库
后端从数据库取出数据没有转义直接输出给前端
前端拿到后端数据后没有经过转义直接渲染
解决方法
后端入库前不要相信前端任何数据,统一将所有字符转义
后端将数据输出给前段时统一进行转义
前端进行渲染时,将从后端请求过来的数据统一转义处理
基于字符集的XSS
简介
大部分浏览器都专门针对XSS进行转义处理,但也有很多方式可以绕过转义规则,比如web页面字符集不固定,用户输入非字符集字符,有时会绕过转义过滤规则
解法
指定 ,用utf-8,而且标签闭合
CSRF
原理
用户登录了某网站A,并在本地记录了cookie,在没有退出该网站时(cookie有效的时间内),攻击者发送引诱网站B,B要求访问A,从而达到获取用户隐私
解法
正确使用get(只用于查看,列举,展示等不需要改变资源属性的时候) post(用于form表单提交,改变一个资源的属性或做一些其他事情,如数据库增删改)和cookie
非GET请求中,为每个用户生产一个cookie token
POST请求的时候使用验证码
渲染表单的时候,为每个表单加一个 csrfToken,然后在后端做 csrfToken验证
校验请求来源
设置cookie samesite
SQL注入
原理
程序没有有效的转义过滤用户的输入,使得攻击者成功向服务器提交恶意的SQL查询代码,使得程序将攻击者的输入作为查询语句一部分执行
预防方法
严格限制web应用的数据库操作权限,给此用户提供仅仅能够满足其工作的最低权限
后端代码检查输入数据是否符合预期,严格限制变量的类型,比如使用正则表达式进行匹配
对进入数据库的特殊字符(’,”,,<,>,&,*)进行转义处理
应用上线前建议使用专业的SQL注入检测
命令行注入
指的是攻击者能够通过 HTTP 请求直接侵入主机,执行攻击者预设的 shell 命令这往往是 Web 开发者最容易忽视但是却是最危险的一个漏洞之一
DDos攻击
分布式拒绝服务,其原理就是利用大量的请求造成资源过载,导致服务不可用
网络层DDos
应用层DDos
流量劫持
DNS劫持
DNS是将网络域名对应到真实计算机能够识别的IP地址,以便进一步通信。DNS劫持就是当用户通过某一个域名访问站点时,被篡改的DNS服务器返回的是一个钓鱼站点的IP,用户就被劫持到钓鱼网站,进而隐私泄露
HTTP劫持
HTTP劫持,当用户访问某个站点时会经过运营商网络,不法运营商和黑厂勾结能够截获请求返回内容,并且篡改内容,然后再返回给用户,从而实现劫持页面,轻则插入小广告,重则直接串改成钓鱼网站骗用户隐私
解决: 通信过程没有对对方身份进行校验以及对数据完整性进行校验,所以防止 HTTP 劫持的方法只有将内容加密,让劫持者无法破解篡改,这样就可以防止 HTTP 劫持了
### 如何入门网络安全
#### 建议
多看书
阅读永远是最有效的方法,尽管书籍并不一定是最好的入门方式,但书籍的理解需要一定的基础;但是就目前来看,书籍是比较靠谱的入门资料。
现在Web安全书籍比较多,因此大家在学习的过程中可以少走了不少的弯路。如果以上推荐书籍阅读有困难,那就找自己能看得进的 Web 安全的书
当然纸上谈兵终觉浅,最好还是实践一下。
对于那些没有学习方向和资料的同学,可以看下我整理的资源,这份资料经历过社会的实践,可以说是当下全网较全的网络安全知识体系:
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析



