web安全学习

web安全讲述

确保您的 Web 站点或 Web 应用安全是十分重要的，即便是代码中很小的 bug 也可能致使隐私信息被泄露，黑客会尝试偷窃数据。这些文档提供信息帮助您使代码更安全。此处列出的面向 Web 安全的文章提供的信息能够帮助您保护站点及其代码免受攻击和数据窃取。

1. CSP内容安全策略
2. xss跨站点脚本攻击
3. CSRF 跨站点请求伪造

CSP内容安全策略

CSP 的主要目标是减小和报告 XSS 攻击 ，XSS 攻击利用了浏览器对于从服务器所获取的内容的信任。恶意脚本在受害者的浏览器中得以运行，由于浏览器信任其内容来源，即便有的时候这些脚本并不是来自于它本该来的地方。

CSP经过指定有效域——即浏览器承认的可执行脚本的有效来源——使服务器管理者有能力减小或消除XSS攻击所依赖的载体。一个CSP兼容的浏览器将会仅执行从白名单域获取到的脚本文件，忽略全部的其余脚本 (包括内联脚本和HTML的事件处理属性)。

Content-Security-Policy: policy

一个网站管理者容许网页应用的用户在他们本身的内容中包含来自任何源的图片, 可是限制音频或视频需从信任的资源提供者(得到)，全部脚本必须从特定主机服务器获取可信的代码, 启用发送违规报告，你须要指定 report-uri 策略指令，并提供至少一个URI地址去递交报告：

Content-Security-Policy: default-src 'self'; img-src *; media-src media1.com media2.com; script-src userscripts.example.com; report-uri http://reportcollector.example.com/collector.cgi

xss跨站点脚本攻击

跨站脚本攻击Cross-site scripting (XSS，为了避免和CSS重名)是一种安全漏洞，攻击者利用这种漏洞能够在客户端注入恶意代码，能够完成获取cookie、session的读取，还能够利用脚本串改HTML内容，引导用户进入第三方恶意站点，主要表现就是：

1. 将一些隐私数据像cookie、session发送给攻击者，
2. 将受害者重定向到一个由攻击者控制的网站，
3. 在受害者的机器上进行一些恶意操做。

目前常见的分类包括了：

1. 存储型【永久型】：包括了服务端的操做
2. 反射型：有服务端的参与
3. DOM型：纯客户端的攻击

存储型【持久型】

主要是表如今客户端的输入内容【博客内容、表单提交、富文本编辑等】提交到服务端，被服务端保存，并在返回到客户端进行展现；若是其中含有恶意脚本<script>alert(‘我是存储型XSS攻击')</script>，并被客户端插入到文档流中，那么恶意脚本会被执行，恶意脚本能够完成读取隐私数据、重定向、修改页面展现结构等操做。

反射型【非持久型】

反射型 XSS 只是简单地把用户输入的数据 “反射” 给浏览器，这种攻击方式每每须要攻击者诱使用户点击一个恶意连接，或者提交一个表单时，恶意连接中的而已脚本参数或者表单提交的恶意脚本通过服务端的关联，注入到了当前访问的文档流中，恶意脚本被执行，和存储型同样，恶意脚本均可以完成读取隐私数据、重定向、修改页面展现结构等操做。

基于DOM型

这是一种纯客户端的攻击，客户端在处理页面地址连接时将恶意脚本注入到了正常文档流中，或者是编辑富文本的时候将它处赋值的含有恶意脚本的富文本插入到了文档流中，致使恶意脚本的执行。一样能够完成读取隐私数据、重定向、修改页面展现结构等操做。

防范xss

1. 保证隐私数据的安全性，
   添加cookie时，设置 Secure; HttpOnly，仅支持https链接和脚本没法读取。
   Set-Cookie: id=a3fWa; Expires=Wed, 21 Oct 2015 07:28:00 GMT; Secure; HttpOnly
2. 处理任何用户端的输入
   用户端的自定义输入是彻底没法保证的，因此须要进行处理，包括特殊字符的转译和限制长度等。
3. 服务端的数据转译
   若是服务端的数据遭到了存储型攻击，那么就须要对服务端的数据进行必要的转译编码，

CSRF 跨站点请求伪造

跨站请求伪造（CSRF）是一种冒充受信任用户，向服务器发送非预期请求的攻击方式。例如，这些非预期请求多是经过在跳转连接后的 URL 中加入恶意参数来完成:
<img src="https://www.example.com/index.php?action=delete&id=123">
对于在 https://www.example.com 有权限的用户，这个 <img> 标签会在他们根本注意不到的状况下对 https://www.example.com 执行这个操做，即便这个标签根本不在 https://www.example.com 内亦可。

解决方法

1. 验证 HTTP Referer 字段
2. 添加验证码
3. 添加token【服务端sessiontoken 和 表单页面token/request-header自定义头、cookie[token] 和 表单页面token/request-header自定义头】