XSS攻击、CSRF攻击基本概念及防范方法
最新回答
遗心遗梦遗快乐
2023-01-11 08:21:57
基本概念
XSS，全称Cross Site Scripting，即跨站脚本攻击。XSS攻击的核心原理是：攻击者通过合法的操作，向受害者的页面注入恶意脚本，这些脚本会在受害者的浏览器中执行，从而达到攻击的目的。XSS攻击可能导致盗用cookie、破坏页面的正常结构、插入广告等恶意内容，甚至进行D-doss攻击。
防范方法
- 编码：对用户的输入进行HTML Entity编码，以防止恶意脚本被直接解析和执行。
- 过滤：移除用户输入中和事件相关的属性，如onerror、onclick等，以及不安全的style节点、script节点、Iframe节点等，以减少潜在的攻击面。
- 校正：避免直接对HTML Entity进行解码，而是使用DOM parse转换，校正不配对的DOM标签，确保页面结构的正确性和安全性。
- 白名单策略：对于富文本内容，采用白名单策略，只允许通过验证的、安全的标签和属性通过，进一步降低风险。
基本概念
CSRF，英文全称Cross-site request forgery，即跨站请求伪造。也被称为“One Click Attack”或者“Session Riding”，是一种对网站的恶意利用。CSRF攻击的原理是：攻击者诱导已经登录过网站A的用户，在不知情的情况下，通过用户的浏览器向网站A发送恶意请求，这些请求会利用用户的会话信息（如cookie）进行身份验证，从而执行攻击者想要的操作。
防范方法
- Token验证：服务器发送给客户端一个唯一的token，客户端在提交表单时带上这个token。服务器在接收到请求后，验证token的合法性，如果不合法，则拒绝请求。
- 隐藏令牌：将token隐藏在HTTP的head头中，与Token验证方法类似，只是使用方式上有区别。
- Referer验证：Referer指的是网页请求的来源。服务器可以配置为只接受来自本站的请求，如果请求来源不是本站，则进行拦截。这种方法可以有效防止CSRF攻击，但需要注意Referer头可以被伪造，因此不是最可靠的方法。
- 双重认证：对于关键操作，如转账、修改密码等，采用双重认证机制，如短信验证码、指纹识别等，以增加攻击的难度。
- 用户登录状态：CSRF需要用户先登录网站A，获取cookie等会话信息，才能利用用户的身份进行攻击。而XSS攻击则不需要用户登录，攻击者可以直接向页面注入恶意脚本。
- 攻击方式：CSRF是利用网站A本身的漏洞，去请求网站A的API或执行某些操作，这些操作通常是用户已经授权但不想执行的。而XSS是向网站A注入js代码，然后执行这些代码，篡改网站A的内容或窃取用户信息。
- 防御策略：虽然XSS和CSRF的防御策略有所不同，但核心思想都是对输入和输出进行严格的控制和验证，以减少潜在的攻击面。同时，加强用户的安全意识教育也是防范这两种攻击的重要手段。
热门标签
