【Web安全】常见的网站安全及解决方案

缘起

经过一番 996，精心打造的网站眼看就要部属上线了，但在网站正式上线之前，你有没有想过自己的网站是否安全吗？尽管你的网站用了很多高大上的技术，但是如果网站的安全性不足，无法保护网站的数据，甚至成为恶意程序的寄生温床，那前面堆砌了再多的美好也都成了枉然。

SQL 注入

在众多安全性漏洞中，SQL 注入绝对是最严重但也是最好处理的一种安全漏洞。在数据库执行查询句时，如果将恶意用户给出的参数直接拼接在查询句上，就有可能发生。

举个例子，假设原本某网站登录验证的查询句长这样：

strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');" 

而恶意用户输入的参数为：

      1. 由于代码中是直接将参数与查询句做字串做的拼接，所以 SQL 就成为了这样：
    
                1. 这样一来，账号密码就形同虚设，甚至可以拿到整个数据库的结构（SELECT * FROM sys.tables）、任意修改、查询数据，整个网站的数据就全部泄露了。

不过解决方法也很简单，只要通过参数化查询来避免直接将参数与查询句拼接，并进行适当的输入检查、插入转义字符、严格设定程序权限，就能够有效避免 SQL 注入了。

XSS

XSS（跨站攻击）也叫JavaScript 注入，是现代网站最频繁出现的问题之一，它指的是网站被恶意用户植入了其他代码，通常发生在网站将用户输入的内容直接放到网站内容时。例如论坛、留言板等可以输入任意文字的网站，恶意用户如果写入一小段

常见的 XSS 有几个类型：将恶意代码写入数据库，当数据被读取出来时就会执行的储存型 XSS；将用户输入的内容直接带回页面上的反射型 XSS；以及利用 DOM 的特性，各种花式执行恶意代码的DOM-based 型 XSS。

储存型及反射型都很好理解，DOM-based 型就非常有意思了；可以参考OSWAP 整理的XSS Filter Evasion Cheat Sheet，绝大多数的 XSS 方式，都是通过各个元素的 background-image 属性或者元素上的各种事件回调来实现；其中特别值得注意的是 SVG，由于 SVG 中可以写入任意 HTML，还可以加上 onload 事件，如果把 SVG 当成普通图片处理，直接作为网站内容使用，如果遇到恶意用户的话，后果不堪设想。所以在上线上传图片功能时，务必要把 SVG 过滤掉！

避免 XSS 的方法其实也很简单，只要在数据输入输出时做好字符转换，使恶意代码不被执行，而是被解析成字符就可以了。

CSRF

CSRF（跨站请求伪造）是一种利用 Cookie 及 Session 认证机制进行攻击的手段；由于 Session 认证的其实不是用户本人，而是浏览器，那么只要通过网页DOM 元素可以跨域的机制，对已经得到认证的网站发出请求，就可以假冒用户，从而拿到敏感信息。

JSON 劫持

JSON 劫持是利用现代网站前后端通过 API 进行数据交换的特性，只要能获得使用者权限，并调用获取资料的 API，再加上改写原生的 JavaScript 对象，就可以窃取用户的敏感信息。

获得权限的部分于 CSRF 相同，通过

然而 Object.prototype.defineSetter 可以修改原生对象所造成的问题，早已经在 ES4 中就被修复了，JSON 劫持也因此销声匿迹，但是从 ES6 开始又添加了 Proxy，使 JSON 劫持又再次成为可能：

                                    1. 看起来很恐怖，那么该如何解决呢？除了前面所说的 CSRF Token 外，许多大公司还采用了另一种有趣的解决方式。即 API 的响应内容开头为 `for (;;);`，这也是利用 了`<script>` 引入的 JavaScript 会立即执行的特性，把攻击者的网站卡死在循环里。

总结

除了文中提到的四种常见的网站安全漏洞外，一个网站还有很多细节需要考虑，例如不要用明码存储密码等敏感信息，针对来源 IP 做流量限制防止 DOS 等等。所以在进行网站开发时要保持安全意识，尽可能做好基本的防护措施。

---

网安零基础入门
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：


当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

因篇幅有限，仅展示部分资料，需要点击下方卡片即可获取，无偿分享。