安全基礎總結

安全基礎總結

@Date 2016.06.02

XSS(跨站指令碼攻擊)

1. 反射型 :
   • 非持久化
   • 互動性
   • 欺騙使用者自己去點選連結才能觸發XSS程式碼
2. 儲存型 :
   • 持久化
   • 程式碼是儲存在伺服器中(文字框,留言裡輸入Script指令碼)
   • 盜竊使用者Cookie
3. DOM型 :
   • 改變頁面HTML結構
4. 防禦
   • 過濾特殊字元
   • 進行Html實體編碼(轉義)
   • 字串不能原樣輸出到前端
5. 注意
   • http-only不是萬能的
   • content-type不是萬能的(ie6)
   • request中的欄位都是有害的

CSRF(跨站請求偽造)

1. 誘導使用者瀏覽器傳送攻擊者的指令
2. 流程
   • 使用者請求正常網站A -> 產生網上A的cookie -> 使用者請求惡意網站B -> 網站B要求使用者請求A並進行操作 -> 後臺帶著cookie進行網站A的操作
3. 防禦
   • 驗證碼
   • Token
   • 隨機數
   • 驗證referer和csrf引數