罕见六大Web 平安攻防剖析

2019年8月31日 142次阅读 来源: 浪里行舟

媒介

在互联网时期，数据平安与个人隐私受到了亘古未有的应战，种种新颖的进击手艺屡见不鲜。怎样才更好地庇护我们的数据？本文重要侧重于剖析几种罕见的进击的范例以及防备的要领。

想阅读更多优良原创文章请猛戳GitHub博客

一、XSS

XSS (Cross-Site Scripting)，跨站剧本进击，因为缩写和 CSS堆叠，所以只能叫 XSS。跨站剧本进击是指经由历程存在平安破绽的Web网站注册用户的阅读器内运转不法的HTML标签或JavaScript举行的一种进击。

跨站剧本进击有可以形成以下影响:

  • 运用子虚输入表单诳骗用户个人信息。
  • 运用剧本偷取用户的Cookie值，被害者在不知情的状况下，协助进击者发送歹意请求。
  • 显现捏造的文章或图片。

XSS 的道理是歹意进击者往 Web 页面里插进去歹意可实行网页剧本代码，当用户阅读该页之时，嵌入个中 Web 内里的剧本代码会被实行，从而可以到达进击者偷取用户信息或其他侵占用户平安隐私的目标。

XSS 的进击体式格局一成不变，但照样可以大抵细分为几种范例。

1.非耐久型 XSS（反射型 XSS ）

非耐久型 XSS 破绽，平常是经由历程给他人发送带有歹意剧本代码参数的 URL，当 URL 地点被翻开时，特有的歹意代码参数被 HTML 剖析、实行。

《罕见六大Web 平安攻防剖析》
举一个例子，比方页面中包含有以下代码：

<select>
    <script>
        document.write(''
            + '<option value=1>'
            +     location.href.substring(location.href.indexOf('default=') + 8)
            + '</option>'
        );
        document.write('<option value=2>English</option>');
    </script>
</select>

进击者可以直接经由历程 URL (相似：https://xxx.com/xxx?default=<script>alert(document.cookie)</script>) 注入可实行的剧本代码。不过一些阅读器如Chrome其内置了一些XSS过滤器，可以防备大部分反射型XSS进击。

非耐久型 XSS 破绽进击有以下几点特性：

  • 立即性，不经由效劳器存储，直接经由历程 HTTP 的 GET 和 POST 请求就可以完成一次进击，拿到用户隐私数据。
  • 进击者需要诳骗点击,必需要经由历程用户点击链接才提议
  • 反应率低，所以较难发明和相应修复
  • 偷取用户敏感保密信息

为了防备涌现非耐久型 XSS 破绽，需要确保这么几件事变：

  • Web 页面衬着的一切内容或许衬着的数据都必需来自于效劳端。
  • 只管不要从 URL，document.referrer，document.forms 等这类 DOM API 中猎取数据直接衬着。
  • 只管不要运用 eval, new Function()，document.write()，document.writeln()，window.setInterval()，window.setTimeout()，innerHTML，document.createElement() 等可实行字符串的要领。
  • 如果做不到以上几点，也必需对触及 DOM 衬着的要领传入的字符串参数做 escape 转义。
  • 前端衬着的时刻对任何的字段都需要做 escape 转义编码。

2.耐久型 XSS（存储型 XSS）

耐久型 XSS 破绽，平常存在于 Form 表单提交等交互功用，如文章留言，提交文本信息等，黑客运用的 XSS 破绽，将内容经一般功用提交进入数据库耐久保留，当前端页面取得后端从数据库中读出的注入代码时，正好将其衬着实行。

《罕见六大Web 平安攻防剖析》

举个例子，关于批评功用来讲，就得提防耐久型 XSS 进击，因为我可以在批评中输入以下内容

《罕见六大Web 平安攻防剖析》

重要注入页面体式格局和非耐久型 XSS 破绽相似，只不过耐久型的不是泉源于 URL，referer，forms 等，而是泉源于后端从数据库中读出来的数据 。耐久型 XSS 进击不需要诳骗点击，黑客只需要在提交表单的处所完成注入即可，然则这类 XSS 进击的本钱相对照样很高。

进击胜利需要同时满足以下几个前提：

  • POST 请求提交表单后端没做转义直接入库。
  • 后端从数据库中掏出数据没做转义直接输出给前端。
  • 前端拿到后端数据没做转义直接衬着成 DOM。

耐久型 XSS 有以下几个特性：

  • 耐久性，植入在数据库中
  • 偷取用户敏感私密信息
  • 伤害面广

3.怎样防备

关于 XSS 进击来讲，一般有两种体式格局可以用来防备。

1) CSP

CSP 实质上就是竖立白名单，开发者明白通知阅读器哪些外部资本可以加载和实行。我们只需要设置划定规矩，怎样阻拦是由阅读器自身完成的。我们可以经由历程这类体式格局来只管削减 XSS 进击。

一般可以经由历程两种体式格局来开启 CSP：

  • 设置 HTTP Header 中的 Content-Security-Policy
  • 设置 meta 标签的体式格局 <meta http-equiv=”Content-Security-Policy”>

这里以设置 HTTP Header 来举例：

  • 只许可加载本站资本
Content-Security-Policy: default-src 'self'
  • 只许可加载 HTTPS 协定图片
Content-Security-Policy: img-src https://*
  • 许可加载任何泉源框架
Content-Security-Policy: child-src 'none'

如需相识更多属性，请检察Content-Security-Policy文档

关于这类体式格局来讲，只需开发者设置了准确的划定规矩，那末纵然网站存在破绽，进击者也不能实行它的进击代码，而且 CSP 的兼容性也不错。

2) 转义字符

用户的输入永久不可托托的，最广泛的做法就是转义输入输出的内容，关于引号、尖括号、斜杠举行转义

function escape(str) {
  str = str.replace(/&/g, '&amp;')
  str = str.replace(/</g, '&lt;')
  str = str.replace(/>/g, '&gt;')
  str = str.replace(/"/g, '&quto;')
  str = str.replace(/'/g, '&#39;')
  str = str.replace(/`/g, '&#96;')
  str = str.replace(/\//g, '&#x2F;')
  return str
}

然则关于显现富文本来讲，明显不能经由历程上面的方法来转义一切字符，因为如许会把需要的花样也过滤掉。关于这类状况，一般采纳白名单过滤的方法，固然也可以经由历程黑名单过滤，然则斟酌到需要过滤的标签和标签属性着实太多，越发引荐运用白名单的体式格局。

const xss = require('xss')
let html = xss('<h1 id="title">XSS Demo</h1><script>alert("xss");</script>')
// -> <h1>XSS Demo</h1>&lt;script&gt;alert("xss");&lt;/script&gt;
console.log(html)

以上示例运用了 js-xss 来完成，可以看到在输出中保留了 h1 标签且过滤了 script 标签。

3) HttpOnly Cookie。

这是防备XSS进击偷取用户cookie最有用的防备手腕。Web运用顺序在设置cookie时，将其属性设为HttpOnly，就可以够防止该网页的cookie被客户端歹意JavaScript偷取，庇护用户cookie信息。

二、CSRF

CSRF(Cross Site Request Forgery)，即跨站请求捏造，是一种罕见的Web进击，它运用用户已登录的身份，在用户绝不知情的状况下，以用户的名义完成不法操纵。

1.CSRF进击的道理

下面先引见一下CSRF进击的道理：

《罕见六大Web 平安攻防剖析》

完成 CSRF 进击必需要有三个前提：

  • 用户已登录了站点 A，并在当地记录了 cookie
  • 在用户没有登出站点 A 的状况下（也就是 cookie 见效的状况下），接见了歹意进击者供应的引诱风险站点 B (B 站点请求接见站点A)。
  • 站点 A 没有做任何 CSRF 防备

我们来看一个例子： 当我们登入转账页面后，倏忽眼前一亮惊现”XXX隐私照片，不看忏悔一生”的链接，耐不住心田躁动，立马点击了该风险的网站（页面代码以下图所示），但当这页面一加载，便会实行submitForm这个要领来提交转账请求，从而将10块转给黑客。

《罕见六大Web 平安攻防剖析》

2.怎样防备

提防 CSRF 进击可以遵照以下几种划定规矩：

  • Get 请求不对数据举行修正
  • 不让第三方网站接见到用户 Cookie
  • 阻挠第三方网站请求接口
  • 请求时附带考证信息，比方考证码或许 Token

1) SameSite

可以对 Cookie 设置 SameSite 属性。该属性示意 Cookie 不跟着跨域请求发送，可以很大水平削减 CSRF 的进击，然则该属性现在并非一切阅读器都兼容。

2) Referer Check

HTTP Referer是header的一部分，当阅读器向web效劳器发送请求时，平常会带上Referer信息通知效劳器是从哪一个页面链接过来的，效劳器籍此可以取得一些信息用于处置惩罚。可以经由历程搜检请求的泉源来防备CSRF进击。一般请求的referer具有肯定规律，如在提交表单的referer必定是在该页面提议的请求。所以经由历程搜检http包头referer的值是不是是这个页面，来推断是不是是CSRF进击。

但在某些状况下如从https跳转到http，阅读器处于平安斟酌，不会发送referer，效劳器就没法举行check了。若与该网站同域的其他网站有XSS破绽，那末进击者可以在其他网站注入歹意剧本，受害者进入了此类同域的网址，也会遭遇进击。出于以上缘由，没法完全依靠Referer Check作为防备CSRF的重要手腕。然则可以经由历程Referer Check来监控CSRF进击的发作。

3) Anti CSRF Token

现在比较完善的解决方案是到场Anti-CSRF-Token。即发送请求时在HTTP 请求中以参数的情势到场一个随机发生的token，并在效劳器竖立一个阻拦器来考证这个token。效劳器读取阅读器当前域cookie中这个token值，会举行校验该请求当中的token和cookie当中的token值是不是都存在且相称，才以为这是正当的请求。不然以为此次请求是违法的，谢绝该次效劳。

这类要领比拟Referer搜检要平安许多，token可以在用户上岸后发生并放于session或cookie中，然后在每次请求时效劳器把token从session或cookie中拿出，与本次请求中的token 举行比对。因为token的存在，进击者没法再组织出一个完全的URL实行CSRF进击。但在处置惩罚多个页面共存题目时，当某个页面消耗掉token后，其他页面的表单保留的照样被消耗掉的谁人token，其他页面的表单提交时会涌现token毛病。

4) 考证码

运用顺序和用户举行交互历程当中，特别是账户生意营业这类中心步骤，强迫用户输入考证码，才完成终究请求。在一般状况下，考证码够很好地停止CSRF进击。但增添考证码降低了用户的体验，网站不能给一切的操纵都加上考证码。所以只能将考证码作为一种辅佐手腕，在症结营业点设置考证码。

三、点击挟制

点击挟制是一种视觉诳骗的进击手腕。进击者将需要进击的网站经由历程 iframe 嵌套的体式格局嵌入自身的网页中，并将 iframe 设置为通明，在页面中显露出一个按钮引诱用户点击。

1. 特性

  • 隐蔽性较高，诳骗用户操纵
  • “UI-掩盖进击”
  • 运用iframe或许别的标签的属性

2. 点击挟制的道理

用户在上岸 A 网站的体系后，被进击者引诱翻开第三方网站，而第三方网站经由历程 iframe 引入了 A 网站的页面内容，用户在第三方网站中点击某个按钮（被装潢的按钮），实际上是点击了 A 网站的按钮。
接下来我们举个例子：我在优酷宣布了许多视频，想让更多的人关注它，就可以够经由历程点击挟制来完成

iframe {
width: 1440px;
height: 900px;
position: absolute;
top: -0px;
left: -0px;
z-index: 2;
-moz-opacity: 0;
opacity: 0;
filter: alpha(opacity=0);
}
button {
position: absolute;
top: 270px;
left: 1150px;
z-index: 1;
width: 90px;
height:40px;
}
</style>
......
<button>点击脱衣</button>
<img src="http://pic1.win4000.com/wallpaper/2018-03-19/5aaf2bf0122d2.jpg">
<iframe src="http://i.youku.com/u/UMjA0NTg4Njcy" scrolling="no"></iframe>

《罕见六大Web 平安攻防剖析》
从上图可知，进击者经由历程图片作为页面背景，隐蔽了用户操纵的实在界面，当你按耐不住猎奇点击按钮今后，真正的点击的实际上是隐蔽的谁人页面的定阅按钮，然后就会在你不知情的状况下定阅了。
《罕见六大Web 平安攻防剖析》

3. 怎样防备

1）X-FRAME-OPTIONS

X-FRAME-OPTIONS是一个 HTTP 相应头，在当代阅读器有一个很好的支撑。这个 HTTP 相应头 就是为了防备用 iframe 嵌套的点击挟制进击。

该相应头有三个值可选，分别是

  • DENY，示意页面不许可经由历程 iframe 的体式格局展现
  • SAMEORIGIN，示意页面可以在雷同域名下经由历程 iframe 的体式格局展现
  • ALLOW-FROM，示意页面可以在指定泉源的 iframe 中展现

2）JavaScript 防备

关于某些太古阅读器来讲，并不能支撑上面的这类体式格局，那我们只要经由历程 JS 的体式格局来防备点击挟制了。

<head>
  <style id="click-jack">
    html {
      display: none !important;
    }
  </style>
</head>
<body>
  <script>
    if (self == top) {
      var style = document.getElementById('click-jack')
      document.body.removeChild(style)
    } else {
      top.location = self.location
    }
  </script>
</body>

以上代码的作用就是当经由历程 iframe 的体式格局加载页面时，进击者的网页直接不显现一切内容了。

四、URL跳转破绽

定义：借助未考证的URL跳转，将运用顺序指导到不平安的第三方地区，从而致使的平安题目。

1.URL跳转破绽道理

黑客运用URL跳转破绽来引诱平安意识低的用户点击，致使用户信息泄漏或许资金的流失。其道理是黑客构建歹意链接(链接需要举行假装,只管疑惑),发在QQ群或许是阅读量多的贴吧/论坛中。
平安意识低的用户点击后,经由效劳器或许阅读器剖析后，跳到歹意的网站中。
《罕见六大Web 平安攻防剖析》

歹意链接需要举行假装,常常的做法是熟习的链接背面加上一个歹意的网址，如许才疑惑用户。
《罕见六大Web 平安攻防剖析》

诸如假装成像以下的网址，你是不是可以辨认出来是歹意网址呢？

http://gate.baidu.com/index?act=go&url=http://t.cn/RVTatrd
http://qt.qq.com/safecheck.html?flag=1&url=http://t.cn/RVTatrd
http://tieba.baidu.com/f/user/passport?jumpUrl=http://t.cn/RVTatrd

2.完成体式格局：

  • Header头跳转
  • Javascript跳转
  • META标签跳转

这里我们举个Header头跳转完成体式格局：

<?php
$url=$_GET['jumpto'];
header("Location: $url");
?>
http://www.wooyun.org/login.php?jumpto=http://www.evil.com

这里用户会以为www.wooyun.org都是可托的，然则点击上述链接将致使用户终究接见www.evil.com这个歹意网址。

3.怎样防备

1)referer的限定

如果肯定通报URL参数进入的泉源，我们可以经由历程该体式格局完成平安限定，保证该URL的有用性，防止歹意用户自身天生跳转链接

2)到场有用性考证Token

我们保证一切天生的链接都是来自于我们可托域的，经由历程在天生的链接里到场用户不可控的Token对天生的链接举行校验，可以防止用户天生自身的歹意链接从而被运用，然则如果功用自身请求比较开放，可以致使有肯定的限定。

五、SQL注入

SQL注入是一种罕见的Web平安破绽，进击者运用这个破绽，可以接见或修正数据，或许运用潜伏的数据库破绽举行进击。

1.SQL注入的道理

我们先举一个全能钥匙的例子来讲明其道理：

《罕见六大Web 平安攻防剖析》

<form action="/login" method="POST">
    <p>Username: <input type="text" name="username" /></p>
    <p>Password: <input type="password" name="password" /></p>
    <p><input type="submit" value="上岸" /></p>
</form>

后端的 SQL 语句多是以下如许的：

let querySQL = `
    SELECT *
    FROM user
    WHERE username='${username}'
    AND psw='${password}'
`;
// 接下来就是实行 sql 语句...

这是我们经罕见到的登录页面，但如果有一个歹意进击者输入的用户名是 admin' --，暗码随便输入，就可以够直接登入体系了。why! —-这就是SQL注入

我们之前料想的SQL 语句是:

SELECT * FROM user WHERE username='admin' AND psw='password'

然则歹意进击者用新鲜用户名将你的 SQL 语句变成了以下情势：

SELECT * FROM user WHERE username='admin' --' AND psw='xxxx'

在 SQL 中,' --是闭合和解释的意义，– 是解释背面的内容的意义，所以查询语句就变成了：

SELECT * FROM user WHERE username='admin'

所谓的全能暗码,实质上就是SQL注入的一种运用体式格局。

一次SQL注入的历程包含以下几个历程：

  • 猎取用户请求参数
  • 拼接到代码当中
  • SQL语句根据我们组织参数的语义实行胜利

**SQL注入的必备前提：
1.可以掌握输入的数据
2.效劳器要实行的代码拼接了掌握的数据**。
《罕见六大Web 平安攻防剖析》
我们会发明SQL注入流程中与一般请求效劳器相似，只是黑客掌握了数据，组织了SQL查询，而一般的请求不会SQL查询这一步，SQL注入的实质:数据和代码未分离，即数据当做了代码来实行。

2.伤害

  • 猎取数据库信息

    • 管理员背景用户名和暗码
    • 猎取其他数据库敏感信息：用户名、暗码、手机号码、身份证、银行卡信息……
    • 全部数据库：脱裤
  • 猎取效劳器权限
  • 植入Webshell，猎取效劳器后门
  • 读取效劳器敏感文件

3.怎样防备

  • 严厉限定Web运用的数据库的操纵权限，给此用户供应仅仅可以满足其事情的最低权限，从而最大限制的削减注入进击对数据库的伤害
  • 后端代码搜检输入的数据是不是相符预期，严厉限定变量的范例，比方运用正则表达式举行一些婚配处置惩罚。
  • 对进入数据库的特别字符（’，”，，<，>，&，*，; 等）举行转义处置惩罚，或编码转换。基本上一切的后端言语都有对字符串举行转义处置惩罚的要领，比方 lodash 的 lodash._escapehtmlchar 库。
  • 一切的查询语句发起运用数据库供应的参数化查询接口，参数化的语句运用参数而不是将用户输入变量嵌入到 SQL 语句中，即不要直接拼接 SQL 语句。比方 Node.js 中的 mysqljs 库的 query 要领中的 ? 占位参数。

六、OS敕令注入进击

OS敕令注入和SQL注入差不多，只不过SQL注入是针对数据库的，而OS敕令注入是针对操纵体系的。OS敕令注入进击指经由历程Web运用，实行不法的操纵体系敕令到达进击的目标。只需在能挪用Shell函数的处所就有存在被进击的风险。倘使挪用Shell时存在疏漏，就可以够实行插进去的不法敕令。

敕令注入进击可以向Shell发送敕令，让Windows或Linux操纵体系的敕令行启动顺序。也就是说，经由历程敕令注入进击可实行操纵体系上安装着的种种顺序。

1.道理

《罕见六大Web 平安攻防剖析》
黑客组织敕令提交给web运用顺序，web运用顺序提取黑客组织的敕令，拼接到被实行的敕令中，因黑客注入的敕令打破了原有敕令构造，致使web运用实行了分外的敕令，末了web运用顺序将实行的效果输出到相应页面中。

我们经由历程一个例子来讲明其道理，如果需要完成一个需求：用户提交一些内容到效劳器，然后在效劳器实行一些体系敕令去返回一个效果给用户

// 以 Node.js 为例，如果在接口中需要从 github 下载用户指定的 repo
const exec = require('mz/child_process').exec;
let params = {/* 用户输入的参数 */};
exec(`git clone ${params.repo} /some/path`);

如果 params.repo 传入的是 https://github.com/admin/admin.github.io.git 确切能从指定的 git repo 高低载到想要的代码。
然则如果 params.repo 传入的是 https://github.com/xx/xx.git && rm -rf /* && 正好你的效劳是用 root 权限起的就糟糕了。

2.怎样防备

  • 后端对前端提交内容举行划定规矩限定（比方正则表达式）。
  • 在挪用体系敕令前对一切传入参数举行敕令行参数转义过滤。
  • 不要直接拼接敕令语句，借助一些东西做拼接、转义预处置惩罚，比方 Node.js 的 shell-escape npm包

给人人引荐一个好用的BUG监控东西Fundebug，迎接免费试用！

《罕见六大Web 平安攻防剖析》

参考资料

    原文作者：浪里行舟
    原文地址: https://segmentfault.com/a/1190000018073845
    本文转自网络文章，转载此文章仅为分享知识，如有侵权，请联系博主进行删除。
点赞