网络安全防范

[weijiyang]

XSS攻击(跨站攻击)

XSS 攻击是指浏览器中执行恶意脚本, 然后拿到用户的信息进行操作。主要分为存储型、反射型和文档型。防范的措施包括:

1. 一个信念: 不要相信用户的输入，对输入内容转码或者过滤，让其不可执行。
2. 两个利用: 利用 CSP，利用 Cookie 的 HttpOnly 属性。

CSRF(跨站请求伪造)

CSRF 攻击并不需要将恶意代码注入用户当前页面的html文档中，而是跳转到新的页面，利用服务器的验证漏洞和用户之前的登录状态来模拟用户进行操作。

1. 利用Cookie的SameSite属性 SameSite可以设置为三个值，Strict、Lax和None。

• 在Strict模式下，浏览器完全禁止第三方请求携带Cookie。比如请求sanyuan.com网站只能在sanyuan.com域名当中请求才能携带 Cookie，在其他网站请求都不能。
• 在Lax模式，就宽松一点了，但是只能在 get 方法提交表单况或者a 标签发送 get 请求的情况下可以携带 Cookie，其他情况均不能。
• 在None模式下，也就是默认模式，请求会自动携带上 Cookie。

2. 验证请求来源 主要用到了请求头中的Origin(域名) Refer(url) 但是都可以伪造安全性并不高

3. CSRF Token

   首先，浏览器向服务器发送请求时，服务器生成一个字符串，将其植入到返回的页面中。然后浏览器如果要发送请求，就必须带上这个字符串，然后服务器来验证是否合法，如果不合法则不予响应。这个字符串也就是CSRF Token，通常第三方站点无法拿到这个 token, 因此也就是被服务器给拒绝。