xss攻撃とcsrf攻撃
XSS攻撃
参考文章中文全称:クロスステーションシナリオ攻撃;英語のフルネーム:Cross Site Scripting;ウェブプログラムにおいて最も一般的な脆弱性であり、攻撃者がウェブページにクライアントスクリプトを挿入し、ユーザがウェブページを閲覧している間に、このスクリプトはユーザのブラウザ上で実行され、攻撃者の目的を達成する.
xss攻撃を実現する方式
ウェブページで入力できる場所(例えば、入力ボックス)にスクリプト言語を入力します.例えば、javascriptはハイパーテキストマーク言語ですので、直接スペルを行うことができます.入力された内容をコンテンツとして扱わず、コード処理として扱いました.xss攻撃の威力は入力したスクリプトに依存します.
xss攻撃のシーン
1.Dom-Based Xssホールは匿名メールを送信します.悪意のあるurlが含まれています.ユーザがurlをクリックすると、悪意のあるコードがユーザのブラウザで実行され、ユーザクッキーの情報を盗み取ります.2.Stored Xss(記憶式xssホール)このタイプの脆弱性は広く、webサーバ自体に影響を及ぼす可能性がある.このような脆弱性は、ウェブサーバが攻撃コードをサーバに格納することを許可するようにする.攻撃者は悪意のあるコードを含む文章をサーバーに送信し、その文章にアクセスするユーザーはいずれもxss攻撃を受けます.
Dom-Based XSSホールはユーザの個人を脅かしていますが、ストレージ型XSSホールは多くのユーザに脅威を与えます.
xssの解決方法
解決策の目的は、ユーザーの入力を信じないことです.重要な情報のクッキーをhttp onlyに設定すると、ユーザー側はjsでクッキーにアクセスできなくなります.2,フロントエンドでユーザーの入力を判断し,正規表現を利用したり,携帯電話番号の入力ボックスのtypeを
CSRF/XSRF攻撃
文章を参考にして個人的には参考文が上手だと思いますが、以下のコメントは神様と喧嘩するように勉強になります.日文名称:クロスステーションは英語の全称を偽造することを要求します.Cross Site Request Forgery CSRF攻撃は簡単に言えば、悪意のあるウェブサイトが合法的なユーザーの身分と偽ってターゲットサイトに要求を送ります.
CSRF攻撃原理
1.まずユーザーAがあるセキュリティサイトB(つまりターゲットサイト)に登録します.2.ウェブサイトBのクッキーは、ログイン状態を維持するために、ユーザAのブラウザに保存されている.3.Aは、Bサイトから退出していない、またはBサイトのクッキーが期限切れでない場合に危険サイトCを訪問した.4.危険サイトCはBに要求を送りますが、Aのブラウザから送信されたので、A対応のクッキー情報を携帯しますので、Bサイトの検証を行います.
個人的な浅はかな理解では、CSRF攻撃はかなり容易く、合法的なユーザーと同じ「顔」にすぎないので、この攻撃を根絶するには有効な方法として、合法的なユーザーと安全なウェブサイトだけが知っているものを規定するべきです.単にCSRF攻撃に関しては、ユーザーのクッキーを押して要求することができますが、クッキーの内容は分かりません.
CSRF攻撃防止
参考文献
方法1、Token検証:(最大使用)(1)サーバがクライアントのtokenに送信される;(2)クライアントが提出したフォームには、このtokenが含まれています.(3)このtokenが合法的でない場合、サーバーはこの要求を拒否する.方法2:トークンを隠す:tokenをhttpのヘッドに隠す.方法三、Referer検証:Refererとは、ページ要求ソースのことです.このサイトの要求だけを受け入れて、サーバーが応答するという意味です.もしそうでないなら、ブロックします.
締め括りをつける
個人的には、XSS攻撃の脅威はCSRF攻撃よりも大きいと思います.XSS攻撃が成功すれば、ユーザが既に登録されているか、または期限が切れていないクッキーを得ることができます.CSRF攻撃の実施条件はXSS攻撃よりも厳しいです.また、要求を送信する時には閲覧器によって自動的にクッキーを追加する機能を利用して偽造を行うしかないです.クッキーの内容は分かりません.もし間違っていたら、みなさんのご叱正を歓迎します.
参考文章中文全称:クロスステーションシナリオ攻撃;英語のフルネーム:Cross Site Scripting;ウェブプログラムにおいて最も一般的な脆弱性であり、攻撃者がウェブページにクライアントスクリプトを挿入し、ユーザがウェブページを閲覧している間に、このスクリプトはユーザのブラウザ上で実行され、攻撃者の目的を達成する.
xss攻撃を実現する方式
ウェブページで入力できる場所(例えば、入力ボックス)にスクリプト言語を入力します.例えば、javascriptはハイパーテキストマーク言語ですので、直接スペルを行うことができます.入力された内容をコンテンツとして扱わず、コード処理として扱いました.xss攻撃の威力は入力したスクリプトに依存します.
xss攻撃のシーン
1.Dom-Based Xssホールは匿名メールを送信します.悪意のあるurlが含まれています.ユーザがurlをクリックすると、悪意のあるコードがユーザのブラウザで実行され、ユーザクッキーの情報を盗み取ります.2.Stored Xss(記憶式xssホール)このタイプの脆弱性は広く、webサーバ自体に影響を及ぼす可能性がある.このような脆弱性は、ウェブサーバが攻撃コードをサーバに格納することを許可するようにする.攻撃者は悪意のあるコードを含む文章をサーバーに送信し、その文章にアクセスするユーザーはいずれもxss攻撃を受けます.
Dom-Based XSSホールはユーザの個人を脅かしていますが、ストレージ型XSSホールは多くのユーザに脅威を与えます.
xssの解決方法
解決策の目的は、ユーザーの入力を信じないことです.重要な情報のクッキーをhttp onlyに設定すると、ユーザー側はjsでクッキーにアクセスできなくなります.2,フロントエンドでユーザーの入力を判断し,正規表現を利用したり,携帯電話番号の入力ボックスのtypeを
type=“tel”に設定したりすることができます.3.ユーザーの入力をエンコードし、ユーザーが入力した特殊な意味のある文字をHtml Ecode処理します.4.特殊なhtmlタグをフィルタまたは削除します.5.javascriptをフィルタするイベントラベル.CSRF/XSRF攻撃
文章を参考にして個人的には参考文が上手だと思いますが、以下のコメントは神様と喧嘩するように勉強になります.日文名称:クロスステーションは英語の全称を偽造することを要求します.Cross Site Request Forgery CSRF攻撃は簡単に言えば、悪意のあるウェブサイトが合法的なユーザーの身分と偽ってターゲットサイトに要求を送ります.
CSRF攻撃原理
1.まずユーザーAがあるセキュリティサイトB(つまりターゲットサイト)に登録します.2.ウェブサイトBのクッキーは、ログイン状態を維持するために、ユーザAのブラウザに保存されている.3.Aは、Bサイトから退出していない、またはBサイトのクッキーが期限切れでない場合に危険サイトCを訪問した.4.危険サイトCはBに要求を送りますが、Aのブラウザから送信されたので、A対応のクッキー情報を携帯しますので、Bサイトの検証を行います.
個人的な浅はかな理解では、CSRF攻撃はかなり容易く、合法的なユーザーと同じ「顔」にすぎないので、この攻撃を根絶するには有効な方法として、合法的なユーザーと安全なウェブサイトだけが知っているものを規定するべきです.単にCSRF攻撃に関しては、ユーザーのクッキーを押して要求することができますが、クッキーの内容は分かりません.
CSRF攻撃防止
参考文献
方法1、Token検証:(最大使用)(1)サーバがクライアントのtokenに送信される;(2)クライアントが提出したフォームには、このtokenが含まれています.(3)このtokenが合法的でない場合、サーバーはこの要求を拒否する.方法2:トークンを隠す:tokenをhttpのヘッドに隠す.方法三、Referer検証:Refererとは、ページ要求ソースのことです.このサイトの要求だけを受け入れて、サーバーが応答するという意味です.もしそうでないなら、ブロックします.
締め括りをつける
個人的には、XSS攻撃の脅威はCSRF攻撃よりも大きいと思います.XSS攻撃が成功すれば、ユーザが既に登録されているか、または期限が切れていないクッキーを得ることができます.CSRF攻撃の実施条件はXSS攻撃よりも厳しいです.また、要求を送信する時には閲覧器によって自動的にクッキーを追加する機能を利用して偽造を行うしかないです.クッキーの内容は分かりません.もし間違っていたら、みなさんのご叱正を歓迎します.