資訊專欄INFORMATION COLUMN
摘要：安全初探攻擊攻擊全稱跨站腳本攻擊，是為不和層疊樣式表的縮寫混淆，故將跨站腳本攻擊縮寫為，是一種在應用中的計算機安全漏洞，它允許惡意用戶將代碼植入到提供給其它用戶使用的頁面中。
web安全初探 XSS攻擊
XSS攻擊全稱跨站腳本攻擊，是為不和層疊樣式表(Cascading Style Sheets, CSS)的縮寫混淆，故將跨站腳本攻擊縮寫為XSS，XSS是一種在web應用中的計算機安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。分類
存儲型（讀取數據、富文本）
例如：利用圖片加載錯誤，執(zhí)行腳本；
xss存儲型攻擊
防范： 可以通過檢測是否被嵌套來預防
if(window.parent != window){
alert("hikjack")
}
CSRF跨站偽造請求
CSRF（Cross-site request forgery）跨站請求偽造，也被稱為“One Click Attack”或者Session Riding，通常縮寫為CSRF或者XSRF，是一種對網站的惡意利用。盡管聽起來像跨站腳本（XSS），但它與XSS非常不同，XSS利用站點內的信任用戶，而CSRF則通過偽裝成受信任用戶的請求來利用受信任的網站。與XSS攻擊相比，CSRF攻擊往往不大流行（因此對其進行防范的資源也相當稀少）和難以防范，所以被認為比XSS更具危險性。
例如： 發(fā)布誘導鏈接，通過iframe提交表單；（注意：發(fā)送時會帶上你請求域名下的cookie）
csrf攻擊
防范：1. 盡量使用POST，限制GET；get的Referer Check維護成本高；
2. 加驗證碼； 3. 通過token驗證；SSRF 服務器偽造請求
是一種由攻擊者構造形成由服務端發(fā)起請求的一個安全漏洞。一般情況下，SSRF攻擊的目標是從外網無法訪問的內部系統(tǒng)。SSRF 形成的原因大都是由于服務端提供了從其他服務器應用獲取數據的功能且沒有對目標地址做過濾與限制。
例如：
可以對外網、內網、本地進行端口掃描，某些情況下端口的Banner會回顯出來（比如3306的）；
攻擊運行在內網或本地的有漏洞程序（比如溢出）；
可以對內網Web應用進行指紋識別，原理是通過請求默認的文件得到特定的指紋
攻擊內網或外網有漏洞的Web應用
使用file:///協(xié)議讀取本地文件
防范手段：
限制域名，不允許提交內網域名；
限制內網ip，不允許提交內網ip；
限制端口；
token驗證；
禁用不需要的協(xié)議；（可以防止類似于file:///,gopher://,ftp:// 等引起的問題）
通過第三方驗證，修改驗證后跳轉的地址，竊取用戶信息例如：掃碼登陸
文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉載請注明本文地址：http://www.ezyhdfw.cn/yun/53850.html
摘要：存儲之初探的發(fā)布和定稿為前端界帶來巨大的變化，新增的和特性給業(yè)務帶來了更多可能性，讓用戶體驗擁有了更可能的豐富。只讀返回一個整數，表示存儲在對象中的數據項數量。會在過期時間之后銷毀。安全性方面，中一般不建議存儲敏感信息。 Web存儲之LocalStorage初探 HTML5的發(fā)布和定稿為前端界帶來巨大的變化，新增的API和特性給業(yè)務帶來了更多可能性，讓用戶體驗擁有了更可能的豐富。 · ...
閱讀 2126·2021-11-25 09:43
閱讀 797·2021-10-11 10:58
閱讀 1899·2019-08-30 15:55
閱讀 1869·2019-08-30 13:13
閱讀 882·2019-08-29 17:01
閱讀 1983·2019-08-29 15:30
閱讀 991·2019-08-29 13:49
閱讀 2308·2019-08-29 12:13
