xss 与 csrf 归纳总结

发表于 Disqus：

XSS（Cross-Site Scripting）

XSS 的本质是：恶意代码未经过滤，与网站正常的代码混在一起；浏览器无法分辨哪些脚本是可信的，导致恶意脚本被执行。

分类

存储型 XSS

存储型 XSS 的攻击步骤：

  1. 攻击者将恶意代码提交到目标网站的数据库中。
  2. 用户打开目标网站时，网站服务端将恶意代码从数据库取出，拼接在 HTML 中返回给浏览器。
  3. 用户浏览器接收到响应后解析执行，混在其中的恶意代码也被执行。
  4. 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

这种攻击常见于带有用户保存数据的网站功能，如论坛发帖、商品评论、用户私信等。

反射型 XSS

反射型 XSS 的攻击步骤：

  1. 攻击者构造出特殊的 URL，其中包含恶意代码。
  2. 用户打开带有恶意代码的 URL 时，网站服务端将恶意代码从 URL 中取出，拼接在 HTML 中返回给浏览器。
  3. 用户浏览器接收到响应后解析执行，混在其中的恶意代码也被执行。
  4. 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

反射型 XSS 跟存储型 XSS 的区别是：存储型 XSS 的恶意代码存在数据库里，反射型 XSS 的恶意代码存在 URL 里。

反射型 XSS 漏洞常见于通过 URL 传递参数的功能，如网站搜索、跳转等。

DOM 型 XSS

DOM 型 XSS 的攻击步骤：

  1. 攻击者构造出特殊的 URL，其中包含恶意代码。
  2. 用户打开带有恶意代码的 URL。
  3. 用户浏览器接收到响应后解析执行，前端 JavaScript 取出 URL 中的恶意代码并执行。
  4. 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

DOM 型 XSS 跟前两种 XSS 的区别：DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞，而其他两种 XSS 都属于服务端的安全漏洞。

防御

在处理输入时，以下内容都不可信：

  • 来自用户的 UGC 信息
  • 来自第三方的链接
  • URL 参数
  • POST 参数
  • Referer （可能来自不可信的来源）
  • Cookie （可能来自其他子域注入）

输入过滤

纯前端渲染

转义 HTML

Content Security Policy

设置方式

HTTP header: Content-Security-Policy
1
2
3
<meta
  http-equiv="Content-Security-Policy"
  content="default-src 'self'; img-src https://*; child-src 'none';" />

语法

1
Content-Security-Policy: <policy-directive>; <policy-directive>

<policy-directive> 由 <directive> <value> 组成

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy#syntax

Directives 指令
  1. 获取指令

通过获取指令来控制某些可能被加载的确切的资源类型的位置。

  • child-src： 为 Web Workers 和其他内嵌浏览器内容（例如用 <frame> 和 <iframe> 加载到页面的内容）定义合法的源地址。
  • connect-src：限制能通过脚本接口加载的 URL。
  • default-src：为其他取指令提供备用服务。
  • ……
  1. 文档指令

文档指令管理文档属性或者 worker 环境应用的策略。

  1. 导航指令

管理用户能打开的链接或者表单可提交的链接

Values 值
  1. 关键值
  2. 不安全关键值
  3. Hosts

验证码

CSRF（Cross-site request forgery）

攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。

  • 攻击一般发起在第三方网站，而不是被攻击的网站。被攻击的网站无法防止攻击发生。
  • 攻击利用受害者在被攻击网站的登录凭证，冒充受害者提交操作；而不是直接窃取数据。
  • 整个过程攻击者并不能获取到受害者的登录凭证，仅仅是“冒用”。
  • 跨站请求可以用各种方式：图片 URL、超链接、CORS、Form 提交等等。

防御

同源检测

  • Origin
  • Referer
  • Referrer Policy

CSRF Token

  • 在用户访问网站页面时，向请求域名注入一个 Cookie，内容为随机字符串（例如 csrfcookie=v8g9e4ksfhw）。
  • 在前端向后端发起请求时，取出 Cookie，并添加到 URL 的参数中（接上例 POST https://www.a.com/comment?csrfcookie=v8g9e4ksfhw）。
  • 后端接口验证 Cookie 中的字段与 URL 参数中的字段是否一致，不一致则拒绝。

Samesite=Strict

表明这个 Cookie 在任何情况下都不可能作为第三方 Cookie

Samesite=Lax

假如这个请求是这种请求（改变了当前页面或者打开了新页面）且同时是个 GET 请求，则这个 Cookie 可以作为第三方 Cookie。