網(wǎng)站攻擊中的csrf和xss

Betta 發(fā)布于2019-07-30 14:22 / 861人閱讀

摘要：何方神圣中文名字是跨站請(qǐng)求偽造，做的事情就是在別的網(wǎng)站，以你的名義對(duì)你登陸認(rèn)證過(guò)的網(wǎng)站搞事情。中文名字是跨站腳本，做的事情就是在有漏洞的網(wǎng)站，寫(xiě)個(gè)攻擊，或者存?zhèn)€另類(lèi)的數(shù)據(jù)到網(wǎng)站數(shù)據(jù)庫(kù)，對(duì)使用網(wǎng)站的用戶(hù)造成困擾，屬于站內(nèi)攻擊。

CSRF、XSS何方神圣 CSRF(Cross-site request forgery)

中文名字是跨站請(qǐng)求偽造，做的事情就是在別的網(wǎng)站，以你的名義對(duì)你登陸認(rèn)      證過(guò)的網(wǎng)站搞事情。

XSS(Cross-site scripting)

中文名字是跨站腳本，做的事情就是在有漏洞的網(wǎng)站，寫(xiě)個(gè)dom攻擊，或者存?zhèn)€另類(lèi)的數(shù)據(jù)到網(wǎng)站數(shù)據(jù)庫(kù)，對(duì)使用網(wǎng)站的用戶(hù)造成困擾，屬于站內(nèi)攻擊。

它們是怎么令你流淚的 CSRF攻擊姿勢(shì)

在B網(wǎng)站默默寫(xiě)個(gè)可訪(fǎng)問(wèn)A網(wǎng)站（用戶(hù)登陸過(guò)了，客戶(hù)端已經(jīng)存儲(chǔ)cookie）的鏈接或者腳本。觸發(fā)方式有用戶(hù)不小心觸發(fā)(比如：點(diǎn)擊某個(gè)按鈕啥的），或者用iframe偷偷訪(fǎng)問(wèn)，這時(shí)候會(huì)帶A網(wǎng)站的cookie去請(qǐng)求A服務(wù)器，因?yàn)橛脩?hù)已經(jīng)登陸過(guò)。如果服務(wù)器沒(méi)有做任何防護(hù)，那B網(wǎng)站就開(kāi)心了，能做的事情就有點(diǎn)多了，比如想去獲取一下你的好友列表信息，然后發(fā)垃圾郵箱啥的，再比如就是直接轉(zhuǎn)賬，把你錢(qián)都卷跑。。如果你做了防護(hù)，B網(wǎng)站會(huì)嘗試投你所好，繼續(xù)攻擊，直到?jīng)]法子。

XSS攻擊姿勢(shì)

1. 檢查提交表單是否對(duì)用戶(hù)輸入有限制，如果限制沒(méi)做好，那攻擊者可以寫(xiě)入一段腳本、sql語(yǔ)句、包含html標(biāo)簽的內(nèi)容。
設(shè)想錄入文章的場(chǎng)景，攻擊者寫(xiě)入的文章被用戶(hù)看到，可發(fā)生的事情有：執(zhí)行js腳本（）完了，用戶(hù)的cookie要丟了，有了用戶(hù)cookie,能做的事情就有點(diǎn)多了；或者可能會(huì)攻擊數(shù)據(jù)庫(kù)，操作數(shù)據(jù)，考驗(yàn)?zāi)愕臄?shù)據(jù)庫(kù)承受能力。
2. 顯示內(nèi)容根據(jù)url參數(shù)是否有關(guān)，進(jìn)行參數(shù)攻擊。

怎么保住自己的江山 CSRF預(yù)防措施

1. 使用cookie的httpOnly，設(shè)置為true,就不能通過(guò)document.cookie
方式獲取用戶(hù)cookie。
2. 使用token,對(duì)每個(gè)請(qǐng)求都設(shè)置一個(gè)token,尤其是post, delete等危險(xiǎn)
method,比如django就使用了csrf_token機(jī)制預(yù)防csrf。
3. 檢查reffer,檢測(cè)鏈接訪(fǎng)問(wèn)來(lái)源。
4. 保證自己站內(nèi)沒(méi)有xss,這樣用戶(hù)信息不易丟失，不給csrf假冒用戶(hù)的機(jī)
會(huì)。
5. 使用X-iframe-options頭部控制別的網(wǎng)站用iframe嵌入你的內(nèi)容。
6. 利用框架自身特點(diǎn)，比如django的csrf_token。

XSS預(yù)防措施

1. 對(duì)用戶(hù)可輸入信息的地方保持警惕，做好防護(hù)，比如轉(zhuǎn)義什么的。
2. 強(qiáng)化數(shù)據(jù)庫(kù)，存入數(shù)據(jù)之前，考慮到安全性。
3. url中的參數(shù)考慮下encode
4. 利用框架本身功能，比如django默認(rèn)會(huì)處理特殊字符