摘要：攻擊方式端口掃描攻擊洪水攻擊洪水攻擊跳轉(zhuǎn)攻擊防范手段保證服務(wù)器系統(tǒng)的安全確保服務(wù)器軟件沒有任何漏洞，防止攻擊者入侵。

標(biāo)簽（空格分隔）： 未分類

[Doc] Crypto (加密)

[Doc] TLS/SSL

[Doc] HTTPS

[Point] XSS

[Point] CSRF

[Point] 中間人攻擊

[Point] Sql/Nosql 注入攻擊

Node.js 的 crypto 模塊封裝了諸多的加密功能, 包括 OpenSSL 的哈希、HMAC、加密、解密、簽名和驗證函數(shù)等.

加密是如何保證用戶密碼的安全性?

在客戶端加密, 是增加傳輸?shù)倪^程中被第三方嗅探到密碼后破解的成本. 對于游戲, 在客戶端加密是防止外掛/破解等. 在服務(wù)端加密 (如 md5) 是避免管理數(shù)據(jù)庫的 DBA 或者攻擊者攻擊數(shù)據(jù)庫之后直接拿到明文密碼, 從而提高安全性.

早期的網(wǎng)絡(luò)傳輸協(xié)議由于只在大學(xué)內(nèi)使用, 所以是默認(rèn)互相信任的. 所以傳統(tǒng)的網(wǎng)絡(luò)通信可以說是沒有考慮網(wǎng)絡(luò)安全的. 早年的瀏覽器大廠網(wǎng)景公司為了應(yīng)對這個情況設(shè)計了 SSL (Secure Socket Layer), SSL 的主要用途是:

認(rèn)證用戶和服務(wù)器, 確保數(shù)據(jù)發(fā)送到正確的客戶機和服務(wù)器;

加密數(shù)據(jù)以防止數(shù)據(jù)中途被竊取;

維護數(shù)據(jù)的完整性, 確保數(shù)據(jù)在傳輸過程中不被改變.

存在三個特性:

機密性：SSL協(xié)議使用密鑰加密通信數(shù)據(jù)

可靠性：服務(wù)器和客戶都會被認(rèn)證, 客戶的認(rèn)證是可選的

完整性：SSL協(xié)議會對傳送的數(shù)據(jù)進(jìn)行完整性檢查

1999年, SSL 因為應(yīng)用廣泛, 已經(jīng)成為互聯(lián)網(wǎng)上的事實標(biāo)準(zhǔn). IETF 就在那年把 SSL 標(biāo)準(zhǔn)化/強化. 標(biāo)準(zhǔn)化之后的名稱改為傳輸層安全協(xié)議 (Transport Layer Security, TLS). 很多相關(guān)的文章都把這兩者并列稱呼 (TLS/SSL), 因為這兩者可以視作同一個東西的不同階段.

在網(wǎng)絡(luò)上, 每個網(wǎng)站都在各自的服務(wù)器上, 想要確保你訪問的是一個正確的網(wǎng)站, 并且訪問到這個網(wǎng)站正確的數(shù)據(jù) (沒有被劫持/篡改), 除了需要傳輸安全之外, 還需要安全的認(rèn)證, 認(rèn)證不能由目標(biāo)網(wǎng)站進(jìn)行, 否則惡意/釣魚網(wǎng)站也可以自己說自己是對的, 所以為了能在網(wǎng)絡(luò)上維護網(wǎng)絡(luò)之間的基本信任, 早期的大廠們合力推動了一項名為 PKI 的基礎(chǔ)設(shè)施, 通過第三方來認(rèn)證網(wǎng)站.

公鑰基礎(chǔ)設(shè)施 (Public Key Infrastructure, PKI) 是一種遵循標(biāo)準(zhǔn)的, 利用公鑰加密技術(shù)為電子商務(wù)的開展提供一套安全基礎(chǔ)平臺的技術(shù)和規(guī)范. 其基礎(chǔ)建置包含認(rèn)證中心 (Certification Authority, CA) 、注冊中心 (Register Authority, RA) 、目錄服務(wù) (Directory Service, DS) 服務(wù)器.

由 RA 統(tǒng)籌、審核用戶的證書申請, 將證書申請送至 CA 處理后發(fā)出證書, 并將證書公告至 DS 中. 在使用證書的過程中, 除了對證書的信任關(guān)系與證書本身的正確性做檢查外, 并透過產(chǎn)生和發(fā)布證書廢止列表 (Certificate Revocation List, CRL) 對證書的狀態(tài)做確認(rèn)檢查, 了解證書是否因某種原因而遭廢棄. 證書就像是個人的身分證, 其內(nèi)容包括證書序號、用戶名稱、公開金鑰 (Public Key) 、證書有效期限等.

在 TLS/SLL 中你可以使用 OpenSSL 來生成 TLS/SSL 傳輸時用來認(rèn)證的 public/private key. 不過這個 public/private key 是自己生成的, 而通過 PKI 基礎(chǔ)設(shè)施可以獲得權(quán)威的第三方證書 (key) 從而加密 HTTP 傳輸安全. 目前博客圈子里比較流行的是 Let"s Encrypt 簽發(fā)免費的 HTTPS 證書.

需要注意的是, 如果 PKI 受到攻擊, 那么 HTTPS 也一樣不安全. 可以參見 HTTPS 劫持 - 知乎討論 中的情況, 證書由 CA 機構(gòu)簽發(fā), 一般瀏覽器遇到非權(quán)威的 CA 機構(gòu)是會告警的 (參見 12306), 但是如果你在某些特殊的情況下信任了某個未知機構(gòu)/證書, 那么也可能被劫持.

此外有的 CA 機構(gòu)以郵件方式認(rèn)證, 那么當(dāng)某個網(wǎng)站的郵件服務(wù)收到攻擊/滲透, 那么攻擊者也可能以此從 CA 機構(gòu)獲取權(quán)威的正確的證書.

跨站腳本 (Cross-Site Scripting, XSS) 是一種代碼注入方式, 為了與 CSS 區(qū)分所以被稱作 XSS. 早期常見于網(wǎng)絡(luò)論壇, 起因是網(wǎng)站沒有對用戶的輸入進(jìn)行嚴(yán)格的限制, 使得攻擊者可以將腳本上傳到帖子讓其他人瀏覽到有惡意腳本的頁面, 其注入方式很簡單包括但不限于 JavaScript / VBScript / CSS / Flash 等.

當(dāng)其他用戶瀏覽到這些網(wǎng)頁時, 就會執(zhí)行這些惡意腳本, 對用戶進(jìn)行 Cookie 竊取/會話劫持/釣魚欺騙等各種攻擊. 其原理, 如使用 js 腳本收集當(dāng)前用戶環(huán)境的信息 (Cookie 等), 然后通過 img.src, Ajax, onclick/onload/onerror 事件等方式將用戶數(shù)據(jù)傳遞到攻擊者的服務(wù)器上. 釣魚欺騙則常見于使用腳本進(jìn)行視覺欺騙, 構(gòu)建假的惡意的 Button 覆蓋/替換真實的場景等情況 (該情況在用戶上傳 CSS 的時候也可能出現(xiàn), 如早起淘寶網(wǎng)店裝修, 使用 CSS 拼接假的評分?jǐn)?shù)據(jù)等覆蓋在真的評分?jǐn)?shù)據(jù)上誤導(dǎo)用戶).

反射型XSS:非持久化，欺騙用戶去點擊鏈接,攻擊代碼包含在url中,被用戶點擊之后執(zhí)行攻擊代碼.

存儲型XSS:持久型,攻擊提交惡意代碼到服務(wù)器，服務(wù)器存儲該段代碼,這樣當(dāng)其他用戶請求后，服務(wù)器返回gai"go"n并發(fā)給用戶，用戶瀏覽此類頁面時就可能受到攻擊。例如:惡意用戶的HTML或JS輸入服務(wù)器->進(jìn)入數(shù)據(jù)庫->服務(wù)器響應(yīng)時查詢數(shù)據(jù)庫->用戶瀏覽器。

防范與過濾

輸入編碼過濾:對于每一個輸入，在客戶端和服務(wù)器端驗證是否合法字符，長度是否合法，格式是否正確,對字符進(jìn)行轉(zhuǎn)義.非法字符過濾.

輸出編碼過濾:對所有要動態(tài)輸出到頁面的內(nèi)容，進(jìn)行相關(guān)的編碼和轉(zhuǎn)義.主要有HTML字符過濾和轉(zhuǎn)義,JS腳本轉(zhuǎn)義過濾.url轉(zhuǎn)義過濾.

設(shè)置http-only,避免攻擊腳本讀取cookie.

在百般無奈, 沒有統(tǒng)一解決方案的情況下, 廠商們推出了 CPS 策略.

以 Node.js 為例, 計算腳本的 hashes 值:

const crypto = require("crypto");

function getHashByCode(code, algorithm = "sha256") {
  return algorithm + "-" + crypto.createHash(algorithm).update(code, "utf8").digest("base64");
}

getHashByCode("console.log("hello world");"); // "sha256-wxWy1+9LmiuOeDwtQyZNmWpT0jqCUikqaqVlJdtdh/0="

設(shè)置 CSP 頭:

content-security-policy: script-src "sha256-wxWy1+9LmiuOeDwtQyZNmWpT0jqCUikqaqVlJdtdh/0="

策略指令可以參見 CSP Policy Directives以及阮一峰的博文, 屈大神的博文

跨站請求偽造 (Cross-Site Request Forgery) 是一種偽造跨站請求的攻擊方式. 例如利用你在 A 站 (攻擊目標(biāo)) 的 cookie / 權(quán)限等, 在 B 站 (惡意/釣魚網(wǎng)站) 拼裝 A 站的請求.

已知某站點 A 刪除的接口是 get 到某個地址, 并指定一個帖子的 id. 在網(wǎng)站 B 上組織一個刪除A站某文章的get請求. 然后A站用戶訪問B站,觸發(fā)該請求. 就可以不知情的情況下刪除某個帖子.

同源策略是最早用于防止 CSRF 的一種方式, 即關(guān)于跨站請求 (Cross-Site Request) 只有在同源/信任的情況下才可以請求. 但是如果一個網(wǎng)站群, 在互相信任的情況下, 某個網(wǎng)站出現(xiàn)了問題:

a.public.com
b.public.com
c.public.com
...

以上情況下, 如果 c.public.com 上沒有預(yù)防 xss 等情況, 使得攻擊者可以基于此站對其他信任的網(wǎng)站發(fā)起 CSRF 攻擊.

另外同源策略主要是瀏覽器來進(jìn)行驗證的, 并且不同瀏覽器的實現(xiàn)又各自不同, 所以在某些瀏覽器上可以直接繞過, 而且也可以直接通過短信等方式直接繞過瀏覽器.

預(yù)防:

在 HTTP 頭中自定義屬性并驗證

檢查 CSRF token.

cookie中加入hash隨機數(shù).

通過檢查來過濾簡單的 CSRF 攻擊, 主要檢查一下兩個 header:

Origin Header

Referer Header

中間人 (Man-in-the-middle attack, MITM) 是指攻擊者與通訊的兩端分別創(chuàng)建獨立的聯(lián)系, 并交換其所收到的數(shù)據(jù), 使通訊的兩端認(rèn)為他們正在通過一個私密的連接與對方直接對話, 但事實上整個會話都被攻擊者完全控制. 在中間人攻擊中, 攻擊者可以攔截通訊雙方的通話并插入新的內(nèi)容.

目前比較常見的是在公共場所放置精心準(zhǔn)備的免費 wifi, 劫持/監(jiān)控通過該 wifi 的流量. 或者攻擊路由器, 連上你家 wifi 攻破你家 wifi 之后在上面劫持流量等.

對于通信過程中的 MITM, 常見的方案是通過 PKI / TLS 預(yù)防, 及時是通過存在第三方中間人的 wifi 你通過 HTTPS 訪問的頁面依舊是安全的. 而 HTTP 協(xié)議是明文傳輸, 則沒有任何防護可言.

不常見的還有強力的互相認(rèn)證, 你確認(rèn)他之后, 他也確認(rèn)你一下; 延遲測試, 統(tǒng)計傳輸時間, 如果通訊延遲過高則認(rèn)為可能存在第三方中間人; 等等.

注入攻擊是指當(dāng)所執(zhí)行的一些操作中有部分由用戶傳入時, 用戶可以將其惡意邏輯注入到操作中. 當(dāng)你使用 eval, new Function 等方式執(zhí)行的字符串中有用戶輸入的部分時, 就可能被注入攻擊. 上文中的 XSS 就屬于一種注入攻擊. 前面的章節(jié)中也提到過 Node.js 的 child_process.exec 由于調(diào)用 bash 解析, 如果執(zhí)行的命令中有部分屬于用戶輸入, 也可能被注入攻擊.

Sql 注入是網(wǎng)站常見的一種注入攻擊方式. 其原因主要是由于登錄時需要驗證用戶名/密碼, 其執(zhí)行 sql 類似:

SELECT * FROM users WHERE usernae = "myName" AND password = "mySecret";

其中的用戶名和密碼屬于用戶輸入的部分, 那么在未做檢查的情況下, 用戶可能拼接惡意的字符串來達(dá)到其某種目的, 例如上傳密碼為 "; DROP TABLE users; -- 使得最終執(zhí)行的內(nèi)容為:

SELECT * FROM users WHERE usernae = "myName" AND password = ""; DROP TABLE users; --";

其能實現(xiàn)的功能, 包括但不限于刪除數(shù)據(jù) (經(jīng)濟損失), 篡改數(shù)據(jù) (密碼等), 竊取數(shù)據(jù) (網(wǎng)站管理權(quán)限, 用戶數(shù)據(jù)) 等. 防治手段常見于:

給表名/字段名加前綴 (避免被猜到)

報錯隱藏表信息 (避免被看到, 12306 早起就出現(xiàn)過的問題)

過濾可以拼接 SQL 的關(guān)鍵字符

對用戶輸入進(jìn)行轉(zhuǎn)義

驗證用戶輸入的類型 (避免 limit, order by 等注入)

等...

看個簡單的情況:

let {user, pass, age} = ctx.query;

db.collection.find({
  user, pass,
  $where: `this.age >= ${age}`
})

那么這里的 age 就可以注入了. 另外 GET/POST 還可以傳遞深層結(jié)構(gòu) (比如 ?name[0]=alan 傳遞上來), 通過 qs 之類的模塊解析后導(dǎo)致注入, 如 cnodejs 遭遇 mongodb 注入.

DDoS即Distributed Denial of Service，分布式拒絕服務(wù)。也就是攻擊者借助或者利用服務(wù)器技術(shù)，將多個計算機（肉雞或僵尸機）聯(lián)合起來作為攻擊平臺，對一個或者多個目標(biāo)服務(wù)器，同一時間發(fā)送大量垃圾信息，或利用某種干擾信息的方式，導(dǎo)致目標(biāo)服務(wù)器無法及時響應(yīng)正常用戶正常請求，或者直接導(dǎo)致目標(biāo)服務(wù)器宕機，從而無法為正常用戶提供服務(wù)的一種攻擊行為。

攻擊方式:

端口掃描攻擊

ping洪水（flooding）攻擊

SYN洪水（flooding）攻擊

FTP跳轉(zhuǎn)攻擊

防范手段:

保證服務(wù)器系統(tǒng)的安全,確保服務(wù)器軟件沒有任何漏洞，防止攻擊者入侵。

確保服務(wù)器采用最新系統(tǒng)，并打上安全補丁。

在服務(wù)器上刪除未使用的服務(wù)，關(guān)閉未使用的端口。

對于服務(wù)器上運行的網(wǎng)站，確保其打了最新的補丁，沒有安全漏洞。

隱藏服務(wù)器的真實IP地址