《白帽子讲Web安全》 - 第二篇 客户端脚本安全（一）

## 声明，个人学习整理类文章，仅供参考

第二章  浏览器安全

 

一、同源策略

  #  浏览器 最核心的，最基本的安全功能

  #  作用：限制来自不同源的 "document" 或 脚本，对当前 "document" 读取或设置某些属性

  #  概念："origin"(源)， 来自不同 origin 的对象无法互相干扰

  Tip：不同源会被浏览器拒绝请求

  #  影响 "源" 的因素:  host，子域名，端口，协议

  Tip：对于当前页面来说，重要的是加载JavaScript页面所在的域是什么，与页面内 存放的JavaScript文件的域无关

  #  特殊：带 "src" 属性的标签，不受同源限制 (每次加载时，浏览器都会发起一次GET请求)

  #  漏洞：IE8的CSS跨域漏洞

 

二、浏览器沙漏 (sandbox)

  #  “挂马” ：网页插入恶意代码

  #  Sandox：浏览器中，泛指 "资源隔离类模块"

               作用：让不可信任的代码运行在一定环境中，且限制访问隔离区之外的资源 (只能通过指定的数据通道，进行数据交换)

  #  多进程架构：

                优点：将浏览器各个功能模块分开，当一个进程崩溃时，不会影响到其他的进程

 

三、恶意网址拦截

  #  分类：

• 挂马网站：含有恶意脚本，通过利用浏览器漏洞，执行shellcode，在用户电脑中植入木马
• 钓鱼网站：模仿知名网站，相似页面欺骗用户

  #  Tip：目前浏览器只是以推送恶意网址黑名单为主，浏览器收到黑名单后，对用户访问的黑名单进行拦截；

      PhishTank，免费提供恶意网址黑名单的组织之一

  #  EVSSL 证书 (Extended Validation SSL Certificate)

      全球数字证书颁发机构与浏览器厂商一起打造的增强型证书

      #  特色：浏览器会给予EVSSL证书特殊待遇，遵循X509标准，并兼容普通证书

 

四、浏览器安全

  #  微软IE  提出  XSS Filter 策略 ~~对抗反射型XSS (下一章节会讲XSS)

  #  火狐Firefox  提出  CSP(Content Security Policy)

                          做法：由服务器端返回一个Http头，并在其中描述页面应当遵守的安全策略

                          优缺点：设计理论很出色，

                                         但CSP的规则配置较为复杂，页面较多的情况下，实现较为困难，且后期维护成本较高

  #  新威胁：恶意插件