Web 攻击方式及其预防

Web

Web 攻击是什么

Web 攻击（WebAttcak）是针对用户上网行为或网站服务器等设备进行攻击的行为。如植入代码、修改网站权限、获取网站用户隐私信息等等。Web 应用程序的安全性是任何基于 Web 业务的重要组成部分。站点安全就是为保护站点不受未授权的访问、使用、修改和破坏而采取的行为或实践。

我们常见的 Web 攻击方式有：

  • DOS 攻击（Denial of Service attack）
  • DDOS 攻击（Distributed Denial of Service）分布式拒绝服务攻击
  • XSS （Cross Site Scriping）跨站脚本攻击
  • CSRF（Cross Site Request Forgery）跨站请求伪造
  • SQL 注入攻击

DOS 攻击（Denial of Service attack）

概念

是一种针对服务器的能够让服务器呈现静止状态的攻击方式。有时候也叫服务停止攻击或拒绝服务攻击。

其原理就是发送大量的合法请求到服务器，服务器无法分辨这些请求是正常请求还是攻击请求，所以都会照单全收。海量的请求会造成服务器停止工作或拒绝服务的状态。这就是 Dos 攻击。

DDOS 攻击（Distributed Denial of Service）

概念

分布式拒绝服务攻击（Distributed Denial of Service），简单说就是发送大量请求是使服务器瘫痪。

DDos 攻击是在 DOS 攻击基础上的，可以通俗理解，dos 是单挑，而 ddos 是群殴，因为现代技术的发展，dos 攻击的杀伤力降低，所以出现了 DDOS，攻击者借助公共网络，将大数量的计算机设备联合起来，向一个或多个目标进行攻击。

案例

  • Ping Flood 攻击，即利用 ping 命令不停的发送的数据包到服务器。
  • SYN Flood，简单说一下 tcp 三次握手，客户端服务器发出请求，请求建立连接，然后服务器返回一个报文，表明请求以被接受，然后客户端也会返回一个报文，最后建立连接。那么如果有这么一种情况，攻击者伪造 ip 地址，发出报文给服务器请求连接，这个时候服务器接受到了，根据 tcp 三次握手的规则，服务器也要回应一个报文，可是这个 ip 是伪造的，报文回应给谁呢，第二次握手出现错误，第三次自然也就不能顺利进行了，这个时候服务器收不到第三次握手时客户端发出的报文，又再重复第二次握手的操作。如果攻击者伪造了大量的 ip 地址并发出请求，这个时候服务器将维护一个非常大的半连接等待列表，占用了大量的资源，最后服务器瘫痪。
  • CC 攻击，在应用层 http 协议上发起攻击，模拟正常用户发送大量请求直到该网站拒绝服务为止。

被攻击原因

  • 服务器带宽不足，不能挡住攻击者的攻击流量

XSS 攻击 (Cross-Site scripting)

概念

跨站脚本攻击，是指在通过注册的网站用户的浏览器内运行非法的 HTML 标签或 javascript，从而达到攻击的目的，如盗取用户的 cookie，改变网页的 DOM 结构，重定向到其他网页等。

XSS 设计三个方面，即攻击者、客户端与 Web 应用。

XSS 的攻击目标是为了盗取存储在客户端的 Cookie 或者其他网站用于识别客户端身份的敏感信息。一旦获取到合法用户的信息后，攻击者甚至可以假冒合法用户与网站进行交互。

案例

一个搜索页面，根据 url 参数决定关键词的内容：

1
2
3
4
5
<input type="text" value="<%= getParameter("keyword") %>">
<button>搜索</button>
<div>
  您搜索的关键词是：<%= getParameter("keyword") %>
</div>

这里看似并没有问题，但是如果不按套路出牌呢？

用户输入 <script>alert ("XSS"); </script>，拼接到 HTML 中返回给浏览器。形成了如下的 HTML：

1
2
3
4
5
<input type="text" value=""><script>alert('XSS');</script>">
<button>搜索</button>
<div>
  您搜索的关键词是："><script>alert('XSS');</script>
</div>

浏览器无法分辨出 <script>alert ("XSS"); </script> 是恶意代码，因而将其执行，试想一下，如果是获取 cookie 发送对黑客服务器呢？

根据攻击的来源，XSS 攻击可以分成：

  • 存储型
  • 反射型
  • DOM 型

存储型 XSS

存储型 XSS 的攻击步骤

  • 攻击者将恶意代码提交到目标网站的数据库中
  • 用户打开目标网站时，网站服务端将恶意代码从数据库取出，拼接在 HTML 中返回给浏览器
  • 用户浏览器接受到响应后解析执行，混在其中的恶意代码也被执行
  • 恶意代码且与用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者的指定的操作

这种攻击常见于带有用户保存数据的网站功能，例如论坛发帖、商品评论、用户私信等。

反射型 XSS

反射型 XSS 的攻击步骤

  • 攻击者构造出特殊的 URL，其中包含恶意代码
  • 用户打开带有恶意代码的 URL 时，网站服务端将恶意代码从 URL 取出，拼接咋 HTML 中返回给浏览器
  • 用户浏览器接受到相应后解析执行，混在其中的恶意代码也被执行
  • 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者的指定的操作

反射型 XSS 跟存储型 XSS 的区别是：存储型 XSS 的恶意代码存在数据库里，反射型 XSS 的恶意代码存在 URL 里。

反射型 XSS 漏洞常见于通过 URL 传递参数的功能，如网站搜索、跳转等。

由于需要用户主动打开恶意的 URL 才能生效，攻击者往往会结合多种手段诱导用户点击。

POST 的内容也可以触发反射型 XSS，只不过其触发条件比较苛刻（需要构造表单提交页面，并引导用户点击），所以非常少见。

DOM 型 XSS

DOM 型 XSS 的攻击步骤

  • 攻击者构造出特殊的 URL，其中包含恶意代码
  • 用户打开带有恶意代码的 URL
  • 用户浏览器接收到响应后解析执行，前端 JavaScript 取出 URL 中的恶意代码并执行
  • 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作

DOM 型 XSS 跟前两种 XSS 的区别：DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞，而其他两种 XSS 都属于服务端的安全漏洞

XSS 预防

  • 最直接的方法增加带宽。但是攻击者用各地的电脑进行攻击，他的带宽不会耗费很多钱，但对于服务器来说，带宽非常昂贵。
  • 云服务提供商有自己的一套完整 DDOS 解决方案，并且能提供丰富的带宽资源。

通过前面介绍，看到 XSS 攻击的两大要素：

  • 攻击者提交而恶意代码
  • 浏览器执行恶意代码

针对第一个要素，我们在用户输入的过程中，过滤掉用户输入的恶劣代码，然后提交给后端，但是如果攻击者绕开前端请求，直接构造请求就不能预防了。

而如果在后端写入数据库前，对输入进行过滤，然后把内容给前端，但是这个内容在不同地方就会有不同显示。

例如：
一个正常的用户输入了 5 < 7 这个内容，在写入数据库前，被转义，变成了 5 < 7

在客户端中，一旦经过了 escapeHTML ()，客户端显示的内容就变成了乱码 ( 5 < 7)

在前端中，不同的位置所需的编码也不同。

  • 当 5 < 7 作为 HTML 拼接页面时，可以正常显示 
1
<div title="comment">5 &lt; 7</div>
  • 当 5 < 7 通过 Ajax 返回，然后赋值给 JavaScript 的变量时，前端得到的字符串就是转义后的字符。这个内容不能直接用于 Vue 等模板的展示，也不能直接用于内容长度计算。不能用于标题、alert 等。

可以看到，过滤并非可靠的，下面就要通过防止浏览器执行恶意代码：

在使用 .innerHTML、.outerHTML、document.write () 时要特别小心，不要把不可信的数据作为 HTML 插到页面上，而应尽量使用 .textContent、.setAttribute () 等。

如果用 Vue/React 技术栈，并且不使用 v-html/dangerouslySetInnerHTML 功能，就在前端 render 阶段避免 innerHTML、outerHTML 的 XSS 隐患。

DOM 中的内联事件监听器，如 location、onclick、onerror、onload、onmouseover 等，<a> 标签的 href 属性，JavaScript 的 eval ()、setTimeout ()、setInterval () 等，都能把字符串作为代码运行。如果不可信的数据拼接到字符串中传递给这些 API，很容易产生安全隐患，请务必避免。

1
2
3
4
5
6
7
8
9
10
<script>
// setTimeout()/setInterval() 中调用恶意代码
setTimeout("UNTRUSTED")
setInterval("UNTRUSTED")

// location 调用恶意代码
location.href = 'UNTRUSTED'

// eval() 中调用恶意代码
eval("UNTRUSTED")

CSRF 攻击（Cross Site Request Forgery）

概念

全称是跨站请求伪造 (cross site request forgery), 指通过伪装成受信任用户的进行访问。

通俗的讲就是说我访问了 A 网站，然后 cookie 存在了浏览器，然后我又访问了一个流氓网站，不小心点了流氓网站一个链接（向 A 发送请求），这个时候流氓网站利用了我的身份对 A 进行了访问。是指攻击者通过已经设置好的陷阱，强制对已完成认证的用户进行非预期的个人信息或设定信息等某些状态的更新。属于被动攻击。更简单的理解就是攻击者盗用了你的名义，以你的名义发送了请求。

CSRF 攻击流程

  • 受害者登录 a.com，并保留了登录凭证（Cookie）
  • 攻击者引诱受害者访问了 b.com
  • b.com 向 a.com 发送了一个请求：a.com/act=xx。浏览器会默认携带 a.com 的 Cookie
  • a.com 接收到请求后，对请求进行验证，并确认是受害者的凭证，误以为是受害者自己发送的请求
  • a.com 以受害者的名义执行了 act=xx
  • 攻击完成，攻击者在受害者不知情的情况下，冒充受害者，让 a.com 执行了自己定义的操作

CSRF 的特点

  • 攻击一般发起在第三方网站，而不是被攻击的网站。被攻击的网站无法防止攻击发生
  • 攻击利用受害者在被攻击网站的登录凭证，冒充受害者提交操作；而不是直接窃取数据
  • 整个过程攻击者并不能获取到受害者的登录凭证，仅仅是 “冒用”
  • 跨站请求可以用各种方式：图片 URL、超链接、CORS、Form 提交等等。部分请求方式可以直接嵌入在第三方论坛、文章中，难以进行追踪

被攻击的原因

  • 用户本地存储 cookie，攻击者利用用户的 cookie 进行认证，然后伪造用户发出请求

CSRF 预防

  • 验证 HTTP Referer 字段。通过 referer 识别，HTTP Referer 是 header 的一部分，当浏览器向 web 服务器发送请求的时候，一般会带上 Referer，告诉服务器我是从哪个页面链接过来的，服务器基此可以获得一些信息用于处理。那么这样的话，我们必须登录银行 A 网站才能进行转账了
  • 阻止不明外域的访问
    • 同源检测
    • Samesite Cookie
  • 提交时要求附加本域才能获取的信息
    • 在请求地址中添加 token 并验证。之所以被攻击是因为攻击者利用了存储在浏览器用于用户认证的 cookie，那么如果我们不用 cookie 来验证不就可以预防了。所以我们可以采用 token（不存储于浏览器）认证
    • 双重 Cookie 验证

SQL 注入攻击

概念

是指通过对 web 连接的数据库发送恶意的 SQL 语句而产生的攻击，从而产生安全隐患和对网站的威胁，可以造成逃过验证或者私密信息泄露等危害。SQL 注入的原理是通过在对 SQL 语句调用方式上的疏漏，恶意注入 SQL 语句。

被攻击的原因

  • sql 语句伪造参数，然后在对参数进行拼接的后形成破坏性的 sql 语句，最后导致数据库受到攻击

流程

  • 找出 SQL 漏洞的注入点
  • 判断数据库的类型以及版本
  • 猜解用户名和密码
  • 利用工具查找 Web 后台管理入口
  • 入侵和破坏

SQL 注入预防

  • 严格检查输入变量的类型和格式
  • 对访问数据库的 Web 应用程序采用 Web 应用防火墙
  • 很多 orm 框架已经可以对参数进行转义
  • 在 java 中，我们可以使用预编译语句 (PreparedStatement)，这样的话即使我们使用 sql 语句伪造成参数，到了服务端的时候，这个伪造 sql 语句的参数也只是简单的字符，并不能起到攻击的作用
  • 做最坏的打算，即使被 “拖库”(‘脱裤，数据库泄露’)。数据库中密码不应明文存储的，可以对密码使用 md5 进行加密，为了加大破解成本，所以可以采用加盐的（数据库存储用户名，盐（随机字符长），md5 后的密文）方式

王兰花Front-end Developer

个人简介。