web安全小節

WEB 前端安全

頁面安全

• 同源策略

• xss跨站腳本攻擊(cross site scripting)
  經過form表單或者xhr請求等方式注入惡意腳本，騙取瀏覽器執行這些惡意腳本獲取用戶信息
  持久性攻擊: 經過留言版等功能輸入惡意代碼，提交後會被保存在數據庫中，用戶瀏覽這些數據時被執行這些惡意代碼而後竊取用戶數據
  非持久性: 只在當前執行

  http://a.com?q=![]()

  防護: 過濾用戶提交的危險字符

  CSP(content-security-policy)
      設置cookie爲httpOnly,使得JavaScript不能經過document.cookie等方式來獲取cookie

• csrf跨站請求僞造(cross site request forgery)
  經過登陸了目標網站用戶，以超連接等方式跳轉到第三方網站，利用攜帶的cookie信息，僞造身份向目標網站發送請求(刪除，轉帳...)
  防護: 網站應用驗證請求發送方 sameSite 嚴格模式strict； 目標網站驗證請求(全部請求必須攜帶目標網站下發的token來驗證身份)

網絡安全

• http / https
  http: 明文發送，有被竊取修改的風險
  不驗證通訊方身份，不能肯定報文的完整性
  https: 數據加密，身份驗證

  https 採用非對稱加密和對稱加密技術
  向CA申請證書包含(公鑰，CA數字簽名)
  訪問服務器 -> 服務器下發證書 -> 客戶端檢查證書(經過數字簽名驗證) -> 生成隨機hash值 -> 使用服務器公鑰進行加密 -> 將加密後的內容發送到服務端 -> 服務端經過本身的私鑰匙解密，驗證成功後，將這個隨機值做爲對稱加密的密鑰

瀏覽器系統安全

• 瀏覽器安全經過安全沙箱的隔離性保證安全，讓渲染進程在運行中沒法訪問或修改操做系統中的數據，若是渲染進程須要訪問系統資源只能經過瀏覽器內核(主進程,網絡進程...)將結果經過IPC轉發給渲染進程