CORS

同源策略是为了防止攻击的安全策略#xff0c;其他的都是网络攻击。

除了这…前言

前端关于网络安全看似高深莫测其实来来回回就那么点东西我总结一下就是

XSS、CSRF、CORS】

我将会在我的《面试题一网打尽》专栏中先逐一详细介绍然后再来一篇文章总结预计一共5篇文章欢迎大家关注

XSS

XSS【也叫作代码注入攻击】重点在【脚本】两个字所以同样都是利用

script

还是有区别的。

通过在网站注入恶意脚本使脚本在用户的浏览器上运行从而盗取用户的信息或者破环页面的结构。

1.1

很多知识都需要结合实际的代码来学习所以本篇文章的基础是需要一个服务端的项目可以跟着我的这篇文章搭建自己的服务端项目。

或者直接克隆我的仓库代码在这个提交上拉一个新分支本篇文章所有的代码都是在这个提交基础上进行的。

1.2

恶意脚本由前端生成、发送并存在目标服务器上属于服务器端漏洞重点是

这个脚本是前端某个用户写的好好想想肯定是这样的服务端不会无缘无故的多出来数据服务器在接收到前端传的内容后没有经过检查就存到数据库中攻击发生在前端再一次访问存储的数据的时候

3.1.1

服务器对【文件名】没有过滤对不合法的文件名没有进行转义等处理就保存在服务端数据库了当其他用户访问这个公共【文件名】的时候就会触发攻击脚本中可以获取网站的

cookie把

信息在其他机器上登录改用户的账号并利用用户账号进行一些恶意操作

3.1.2

classboxh1【首页用户1】/h1h1设置一个公开的书籍的名称/h1div这个书籍是所用用户都可以访问的/divdiv修改书名/divtextarea

classbook-name

onclicksaveName()保存/button/divscriptfunction

saveName()

document.getElementById(name).value;if

(name)

classboxh1【另一个页面用户2】/h1h1书籍列表页面/h1div访问公开的书籍/divdiv书名/divdiv

初始化的时候就获取数据fetch(/getName).***n((res)

{return

document.getElementById(name);//

设置书名ele.innerHTML

express();app.use(bodyParser.urlencoded({

extended:

{res.sendFile(path.join(__dirname,

/index.html));

req.bodyfs.writeFileSync(path.resolve(__dirname,

data.txt),

{res.sendFile(path.join(__dirname,

/index2.html));

fs.readFileSync(path.resolve(__dirname,

data.txt)).toString()console.log(name)res.send(JSON.stringify({name:

name,}));

localhost:3000输入一段恶意的代码作为书名点击保存

data.txt

localhost:3000/index2.html这样一个存储型的、对于

dom

得到恶意脚本然后返回给客户端服务器不会存储恶意脚本只会返回(反射)它

3.2.1

https://danger.com?xssscriptalert(attack)/script服务器接收到访问

URL

的值做校验是否合法对于不合法的没有进行转义服务器将解析后的结果反射给浏览器如返回

xss

initial-scale1.0titleDocument/title

/head

hrefhttp://localhost:3000/reflect?xssscriptalert(哈哈你上当了)/script

点击收款100万

整个过程服务器不参与脚本的具体来源还是利用网页中用户交互的部分

URL

initial-scale1.0titleDocument/titlestyletextarea

{width:

onclicksave()保存/buttonhrdiv输出/divdiv

save()

document.getElementById(input).valueif

(text)

document.getElementById(output)output.innerHTML

text}}/script

攻击我们都用代码的形式实现。

一点都不难吧光说不练假把式如果只看理论知识肯定云里雾里你跟着一起写一遍代码就理解了不用背诵就记下来了。

3.4

不使用服务端渲染前两种是服务端的安全漏洞服务器不能信任前端输入的任何东西服务端要对输入脚本进行过滤或者转码。

script

标签被转换为

标签】x-content-type-options\x-frame-options\x-xss-protentcion

等httip头部设置敏感信息