Tinyo Docs

Appearance

On this page

网络攻击 ​

XSS ​

跨站脚本攻击（Cross-Site Scripting，XSS）是一种常见的安全漏洞，它允许攻击者向目标网站的用户注入恶意脚本代码，并在用户浏览器中执行这些脚本代码。攻击者可以利用 XSS 攻击来窃取用户的敏感信息、篡改页面内容或进行其他恶意行为。

XSS 攻击通常发生在用户输入的数据没有经过有效的验证和过滤的情况下，被动态插入到页面中，使得恶意脚本能够被执行。常见的 XSS 攻击类型包括：

  1. 存储型 XSS：攻击者将恶意脚本存储到目标网站的数据库中，当用户浏览到包含该恶意脚本的页面时，脚本会被执行。

  2. 反射型 XSS：攻击者通过诱使用户点击恶意链接或访问特制的 URL，将恶意脚本作为参数传递给目标网站，然后目标网站将恶意脚本反射给用户，从而被执行。

  3. DOM 型 XSS：攻击者通过修改页面的 DOM 结构，将恶意脚本注入到页面中，并在用户浏览器中执行。

为了防止 XSS 攻击，以下是一些常用的防御措施：

  1. 输入验证和过滤：对用户输入的数据进行验证和过滤，确保只允许符合预期的数据通过。可以使用白名单机制，仅允许特定的字符或标记。

  2. 输出编码：在将用户输入的数据显示在页面上之前，对特殊字符进行编码转义，确保浏览器不会将其解释为脚本。常用的编码包括 HTML 实体编码、URL 编码等。

  3. CSP（Content Security Policy）：使用 CSP 头部来限制页面中可以执行的脚本和其他资源，阻止非法脚本的执行。可以配置只允许从特定域名加载脚本或资源。

  4. Cookie 安全标记：设置 HttpOnly 和 Secure 标记，确保 cookie 只能通过 HTTP 请求访问，防止被恶意脚本获取。

  5. 使用框架或库：现代的前端框架（如Vue、React、Angular）通常提供了内置的 XSS 防护机制，使用这些框架可以减轻开发者对 XSS 的关注，但仍需注意安全配置和最佳实践。

CSRF 跨站请求伪造（Cross-Site Request Forgery） ​

浏览器默认会在同源请求中自动发送相应的 Cookie。攻击者可以利用这一点，在用户已经登录目标网站的情况下，构造恶意请求并引导用户发送，以执行非授权的操作。

攻击者通常会在恶意网站中插入特制的代码或诱使用户点击恶意链接，从而触发包含恶意请求的跨站请求。由于浏览器会自动发送相应的 Cookie，目标网站会将请求视为合法请求，无法区分攻击者发送的请求与用户自发发送的请求。

因此，CSRF 攻击利用了用户身份验证信息（通常是 Cookie），以及用户对目标网站的信任。攻击者通过诱使用户在另一个网站上触发恶意请求，利用用户已经建立的信任关系来完成攻击。

为了防止 CSRF 攻击，可以采取以下措施：

  1. 验证来源（Referer）：服务器端可以检查请求头中的 Referer 字段，确保请求来自合法的源。然而，Referer 字段并非始终可靠，因为它可能会被篡改或被某些浏览器禁用。

  2. 随机令牌（Token）：在表单提交或重要操作中，生成并验证一个随机令牌。该令牌会嵌入到页面中，并在提交时一同发送给服务器。攻击者无法获取有效的令牌，因此无法成功发起 CSRF 攻击。

  3. SameSite Cookie 属性：设置 Cookie 的 SameSite 属性为"Strict"或"Lax"，以限制跨站点的 Cookie 发送。这样可以阻止某些类型的 CSRF 攻击。

  4. 频繁更新令牌：在每个请求中都生成新的令牌，确保每次请求都有一个独特的令牌。这样即使攻击者获取了旧令牌，也无法再次使用。

SQL注入 ​

SQL注入是一种常见的安全漏洞，它允许攻击者通过在应用程序中插入恶意的SQL代码，来执行非授权的数据库操作。SQL注入攻击的原理是在用户输入的数据中注入恶意的SQL语句，使得应用程序在拼接SQL查询时无法正确地解析用户输入，从而导致数据库执行了攻击者预期的操作。

  1. 工作原理：
  • 用户输入不被正确过滤或转义：应用程序未正确验证、过滤或转义用户输入的数据，直接将用户输入的内容拼接到SQL查询语句中。
  • 恶意注入SQL代码：攻击者通过在用户输入中插入恶意的SQL代码，改变原始的SQL查询的语义，从而执行非授权的数据库操作。
  • 执行恶意操作：恶意注入的SQL代码可能导致数据库查询、修改、删除或泄露敏感数据等操作。
  1. 影响：
  • 数据泄露：攻击者可以通过SQL注入获取到敏感数据，如用户密码、个人信息、银行账户信息等。
  • 数据篡改：攻击者可以修改数据库中的数据，包括插入、更新或删除数据，破坏数据完整性。
  • 数据库崩溃：攻击者可以通过恶意的SQL语句导致数据库崩溃，导致服务不可用。
  1. 防御方法：
  • 使用参数化查询或预编译语句：应用程序应该使用参数化查询（使用占位符）或预编译语句，而不是直接将用户输入的数据拼接到SQL语句中。这样可以确保用户输入的数据不会被解释为SQL代码。
  • 输入验证和过滤：应用程序应该对用户输入的数据进行验证和过滤，确保只接受预期的数据类型和格式。这可以防止恶意输入注入到SQL语句中。
  • 使用ORM框架：使用ORM（对象关系映射）框架可以帮助自动处理SQL查询，并提供内置的参数化查询功能，从而减少SQL注入的风险。
  • 最小权限原则：数据库用户应该被分配最小权限，以限制对敏感数据的访问和操作。
  • 安全审计和日志记录：记录和监控应用程序的数据库操作，及时发现和响应潜在的SQL注入攻击。
  • 定期更新和安全维护：及时更新数据库软件和应用程序，以修复已知的安全漏洞，并采取必要的安全维护措施。