xss&csrf

[eeechoo]

cookie

参考资料： https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies

1. 可以在 chrome developer tool 中 application 中看到 Set-Cookie: \<cookie-name>=\<cookie-value>

   Cookie: yummy_cookie=choco; tasty_cookie=strawberry

2. Expires, Max-Age Set-Cookie: id=a3fWa; Expires=Wed, 21 Oct 2015 07:28:00 GMT;

3. HttpOnly
   xss

4. Secure
   https

5. Scope of cookies

   • Domain
   • if unspecified
   • if specified
   • Path

6. SameSite
   cross-site request

   • if not set
   • if set to Strict
   • if set to lax

lax 可以代表宽松模式

扩展阅读 https://www.anquanke.com/post/id/83773

XSS 和 CSRF 区别

如何用简洁生动的语言说明 XSS 和 CSRF 的区别？

xss：用户过分信任网站，放任来自浏览器地址栏代表的那个网站代码在自己本地任意执行。如果没有浏览器的安全机制限制，xss代码可以在用户浏览器为所欲为；
csrf：网站过分信任用户，放任来自所谓通过访问控制机制的代表合法用户的请求执行网站的某个特定功能。

XSS 深入

参考文档：https://developer.mozilla.org/en-US/docs/Glossary/Cross-site_scripting

• Stored XSS Attacks
• Reflected XSS Attacks
• DOM-based XSS Attacks

https://www.freebuf.com/articles/web/40520.html http://web.jobbole.com/94665/ https://www.cnblogs.com/phoenix--/articles/2158202.html

[eeechoo]

零基础如何学习 Web 安全？