本文主要记录三种前端的安全攻击及防控方法:
跨站脚本攻击(XSS) ,跨站点请求伪造(CSRF), 点击劫持(ClickJacking)
一:XSS
通过"HTML注入"篡改网页,插入恶意脚本,从而在用户浏览网页是,控制用户浏览器的一种攻击方式.
攻击
1.反射型XSS (非持久型XSS)
把用户输入的数据"反射"给浏览器, 通过诱使用户点击一个恶意连接,达到攻击目的.
2.存储型XSS (持久型XSS)
把恶意的脚本保存到服务器端.
3.DOM Based XSS
修改页面的DOM节点.
防御
1. HttpOnly 禁止JS访问HttpOnly的cookie
2. 输入检查 客户端使用js进行输入检查,服务器端也必须加,因为客户端的输入检查很容易被攻击者绕过
3. 输出检查 编码或转义,输出的变量必须在"内"
4.白名单
二:CSRF
攻击者诱使用户访问了一个页面,然后以该用户身份在第三方站点执行攻击操作.(用携带用户身份信息的cookie向第三方站点发请求)
攻击原理
浏览器的Cookie分为"Session Cookie"(临时Cookie) 和 "Third-party Cookie"(本地Cookie) 两种
1. Session Cookie保存在浏览器进程的内存空间中, 在关闭浏览器之后,才失效. 所以若一个网站设置了Session Cookie,然后新打开一个tab页,session cookie也会在新的页面发送.
2. Third-party Cookie 保存在本地, 跨域的时候,部分浏览器(eg:IE)会阻止 Third-party Cookie的发送.
但是,如果网站返回给浏览器的HTTP头中包含有P3P头,会放开对Third-party Cookie的拦截
3. 大多数CSRF攻击发起时,使用的HTML标签都是<img> <iframe> <script>等等带src属性的标签 (这些标签只能发起一次GET请求)
但是,如果想构造一个POST请求的攻击,也是可以的: 在页面构造好一个form表单,然后使用javascript自动提交这个表单.
防御
1.增加验证码,重要的操作,除了用cookie验证身份之外,再加上验证码验证,双重验证.
2. Referer Check 检查请求是否来自合法的源
3.Token 注意保密性和随机性 (放到session中 或者浏览器cookie中)
三:点击劫持
是一种视觉上的欺骗手段.将透明不可见的iframe覆盖在一个网页上,诱使用户在操作网页的时候,点击到这个透明的iframe页面的功能性按钮上,从而达到攻击目的
防御
1. frame busting,禁止iframe的嵌套
2.X-Frame-Options
此属性的三个值:
DENY:浏览器会拒绝当前页面加载任何frame页面
SAMEORIGIN: frame页面的地址只能为同源域名下的页面
ALLOW-FROM origin : 允许frame加载的页面地址.
