了解XSS和CSRF攻击与防御

什么是XSS攻击

XSS（Cross-Site Scripting，跨站脚本攻击）是一种常见的网络安全漏洞，它允许攻击者在受害者的浏览器上执行恶意脚本。这种攻击通常发生在 web 应用程序中，攻击者通过注入恶意脚本来利用用户对网站的信任，从而在用户的浏览器上执行恶意操作。

XSS 攻击可以分为三种主要类型：

常见的XSS攻击有三种：反射型XSS攻击、DOM-based型XSS攻击、存储型XSS攻击。

第一种反射型XSS攻击

Reflected (反射型) XSS 攻击： 攻击者向Web应用程序提交恶意代码。当该请求被服务器处理后，服务器会构造一个响应页面，并将恶意代码反射到页面中。用户在浏览该页面时，浏览器会执行该恶意代码，从而使攻击者得以窃取用户信息。

第二种DOM-based型XSS攻击

DOM-based XSS 攻击： 通过修改页面的DOM结构来触发漏洞，这比如说客户端从url中提取数据并且在本地执行，如果用户在客户端输入的数据包含了恶意的js脚本的话，但是这些脚本又没有做过任何过滤处理的话，那么我们的应用程序就有可能受到DOM-based XSS攻击

第三种存储型XSS攻击

Stored (持久型) XSS 攻击： 攻击者将恶意脚本存储在服务器上，然后这些脚本被返回给用户，被用户浏览器解释并执行。常见的场景是在用户评论、留言板等地方注入恶意脚本，一旦其他用户访问这些内容，就可能受到攻击。

XSS 攻击可能导致的后果：

盗取各类用户账号，如机器登陆账号，用户网银账号，各类管理员账号, 在用户账户下执行未授权的操作。 控制企业数据，包括读取，篡改，添加，删除企业敏感数据的能力,控制受害者机器向其他网站发起攻击

CSRF攻击

CSRF（Cross-Site Request Forgery，跨站请求伪造）攻击是一种利用用户在不知情的情况下执行恶意操作的攻击方式。攻击者通过欺骗用户，利用用户的浏览器和网站之间的信任关系进行攻击。攻击者诱使用户访问一个恶意网页或点击一个恶意链接，在用户浏览器中发起一次HTTP请求，该请求会自动携带用户在其他网站中的身份认证信息，如Cookie等

CSRF 攻击通常涉及以下步骤：

1. 受害者在目标网站上进行身份验证，并获取相应的会话凭证或cookie。
2. 受害者被诱导到访问恶意网站，可能是通过恶意广告、钓鱼邮件、社交工程等手段。
3. 恶意请求触发：恶意网站中的恶意请求会自动触发受害者在目标网站上执行操作，通常是通过图片、表单提交、JavaScript等方式实现。
4. 目标网站执行请求：目标网站接收到受害者的请求，由于请求携带了合法的身份验证凭证，网站会将请求当作受害者合法的请求来处理。

为了防范CSRF攻击，德迅云安全提供的防御措施建议：

1. 验证来源站点：目标网站可以通过验证请求的来源站点来防止CSRF攻击。可以使用同源检测、引入额外的CSRF令牌等方式。
2. 使用随机化的请求令牌：在处理敏感操作时，目标网站可以生成和验证每个请求的令牌，确保请求来源的合法性。
3. 限制敏感操作：目标网站可以限制敏感操作的可执行性，例如要求用户进行二次验证、输入密码或进行其他身份认证。
4. 保持软件更新：及时更新网站应用程序和框架，修复已知的CSRF漏洞。
5. 德迅云安全scdn：可以对Web攻击防护，智能语义解析功能，在漏洞防御的基础上，增强XXS攻击检测能力。此外，除了可以有效防御 CSRF攻击，XSS攻击，对SQL注入、命令/代码执行、文件包含、木马上传、路径穿越、恶意扫描等OWASP TOP 10攻击也可以进行安全防护。