标签:nta 限制 文本框 pre csrf httponly sha 分析 toc
? 近在学习网络安全相关的知识,于是先从业内一本系统讲Web安全的书《白帽子讲Web安全》系统学习Web安全的相关知识。在此整理书中的知识层次,不求详尽,只求自己对整个Web安全梗概有所了解,另外记录下来以便以后温习。
? 本书总共分为四篇,作者的安全世界观,客户端脚本的安全、服务端应用的安全以及互联网公司安全运营。这一篇博客记录的是客户端脚本安全的知识,包括安全世界观、浏览器安全、XSS跨站脚本攻击、跨站点请求劫持CSRF、点击劫持和HTML5安全。
? ps:阅读本书时,发现作者是年西安交通大学少年班出身,在大学期间就成立了“幻影”,后成为中国安全圈内极具影响力的组织 。算来还是学长,在此对学长的书以及学长在中国网络安全界的影响,膜一波。
安全三要素 CIA
安全评估
资产等级划分=》威胁分析=》风险分析=》确认解决方案
互联网的核心是由用户数据驱动的
互联网安全的核心问题,是数据安全的问题
威胁建模 STRIDE
伪装,篡改,抵赖,信息泄露,拒绝服务,提升权限
风险模型 DREAD
白帽子兵法
源 浏览器为了不让浏览器的页面行为形成干扰,提出“源”。
影响源的因素有:host、子域名、端口、协议
对于当前页面来说,重要在加载JS的域
在浏览器中 script、 img 、iframe 、link、 标签跨域加载资源,实际发起一次GET请求,但不能读写返回的内容
XMLHttpRequest受到同源策略影响
挂马 在网页中插入恶意代码,利用浏览器漏洞执行任意代码
sandbox 资源隔离类模块,将不受信任的代码隔离在访问区之外,通过严格合法检验的API进行访问,各个模块分隔开
多进程浏览器 浏览器多进程,防止单页面崩溃导致全局崩溃
浏览器周期性从服务器端获得一份最新的恶意网址黑名单
分类 1. 挂马网站 2. 钓鱼网站
PhishTank提供恶意网址黑名单
EVSSL证书(兼容X509标准)浏览器特别对待
Firefox 第一个支持CSP(Content Security Policy)的浏览器,插入一个http返回头
XSS: Cross Site Script
黑客通过“HTML注入”篡改了网页,插入了恶意的脚本,从而在用户浏览网页时,控制用户浏览器的一种攻击。
分类
XSS Payload : JS或者其他富客户端的脚本
常见:读取cookie对象,发起cookie劫持。(插入一张看不见的图片,将cookie发给远程服务器)
HttpOnly可以防止cookie劫持
强大的XSS Payload
常见XSS攻击平台 Attack API,BeEF, XSS-Proxy
XSS worm Samy Worm 通过CSS构造出XSS
? 百度空间蠕虫
XSS构造技巧
**变废为宝 碟中谍 Mission impossible **
Flash XSS 在Flash中可以嵌入ActionScript脚本 ,如果一定要用Flash,要求转码为flv静态文件,或者配置参数
JS 框架的XSS漏洞 信任了用户传入的参数,用户可能上传恶意代码
攻击者利用用户的身份,进行http请求,从而造成破坏,不需要获得cookie直接利用用户
浏览器的Cookie策略
cookie分为 Session Cookie临时cookie 和Third-party cookie 本地cookie ,IE,Safari默认拦截本地cookie的发送
P3P头的副作用 允许iframe,script等标签就不会拦截第三方cookie的发送
GET/POST的漏洞,php的$_REQUEST 和POST,创建隐形的iframe让用户发起POST请求
Flash CSRF (已经不能发送本地cookie)
CSRF Worm
视觉上的欺骗手段。攻击者通过使用一个透明的、不可见的iframe覆盖在一个网页上,然后诱使用户在该网页上进行操作,此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe的位置,可以诱使用户恰好点击iframe页面的一些功能按钮。
在Flash游戏上覆盖一个iframe最终可以在用户不知情的情况下达到目的。
在可信的网站上,通过覆盖图片 XSIO 方式,让用户进入钓鱼网站或者利用用户完成某些操作。
浏览器拖拽事件,利用隐形的iframe来诱导用户完成需要的操作。
手机OS系统浏览器中很多时候会隐藏地址栏,从而攻击者伪造出一个iframe来欺骗用户。
通过禁止跨域的iframe来防范。
【网络安全】——客户端安全(浏览器安全、XSS、CSRF、Clickjacking)
标签:nta 限制 文本框 pre csrf httponly sha 分析 toc
原文地址:https://www.cnblogs.com/veeupup/p/12684868.html