WEB安全和HTTP缓存

WEB安全和HTTP缓存

WEB安全

XSS

XSS称为跨站脚本攻击

非持久型XSS（反射型）漏洞

攻击者通过给别人发送带有恶意脚本代码参数的URL，当URL地址被打开时，特有的恶意代码参数被HTML解析、执行，从而达到攻击目的（获取用户信息，侵犯隐私）

特点

注入方式不是来源与URL，通过后端从数据库读取数据。不需要诱骗点击，只要求攻击者在提交表单的地方完成注入即可

解决方法

1.Web页面渲染所有内容或渲染的数据必须来源于服务器

4.需要对DOM渲染方法传入的字符串参数做escape转义

持久型XSS（存储型）漏洞

一般存在与form提交表单之中，如留言，提交文本。攻击者利用XSS漏洞，将脚本内容经过正常功能提交进入数据库永久保存，当前端获得后端从数据库中读出的注入代码时，将其渲染执行

成功条件

1、POST请求提交表单没有经过转义直接入库

2、后端从数据库取出数据没有转义直接输出给前端

3、前端拿到后端数据后没有经过转义直接渲染

1、后端入库前不要相信前端任何数据，统一将所有字符转义

2、后端将数据输出给前段时统一进行转义

3、前端进行渲染时，将从后端请求过来的数据统一转义处理

基于字符集的XSS

大部分浏览器都专门针对XSS进行转义处理，但也有很多方式可以绕过转义规则，比如web页面字符集不固定，用户输入非字符集字符，有时会绕过转义过滤规则

指定 <meta charset=\"utf-8\">，用utf-8，而且标签闭合

CSRF（跨站请求伪造攻击）

原理

预防方法

1、正确使用get(只用于查看，列举，展示等不需要改变资源属性的时候) post（用于form表单提交，改变一个资源的属性或做一些其他事情，如数据库增删改）和cookie

2、非GET请求中，为每个用户生产一个cookie token

3、POST请求的时候使用验证码

4、渲染表单的时候，为每个表单加一个 csrfToken，然后在后端做 csrfToken验证

SQL注入

通过此方法来从数据库获取敏感信息，或者利用数据库特性执行添加用户导出文件等一系列恶意操作

程序没有有效的转义过滤用户的输入，使得攻击者成功向服务器提交恶意的SQL查询代码，使得程序将攻击者的输入作为查询语句一部分执行

1、严格限制web应用的数据库操作权限，给此用户提供仅仅能够满足其工作的最低权限

2、后端代码检查输入数据是否符合预期，严格限制变量的类型，比如使用正则表达式进行匹配

3、对进入数据库的特殊字符（'，\"，，<，>，&，*）进行转义处理

4、应用上线前建议使用专业的SQL注入检测

命令行注入

指的是攻击者能够通过 HTTP 请求直接侵入主机，执行攻击者预设的 shell 命令这往往是 Web 开发者最容易忽视但是却是最危险的一个漏洞之一

DDos攻击

分布式拒绝服务，其原理就是利用大量的请求造成资源过载，导致服务不可用

网络层DDos

应用层DDos

流量劫持

DNS劫持

DNS是将网络域名对应到真实计算机能够识别的IP地址，以便进一步通信。DNS劫持就是当用户通过某一个域名访问站点时，被篡改的DNS服务器返回的是一个钓鱼站点的IP，用户就被劫持到钓鱼网站，进而隐私泄露

HTTP劫持

HTTP劫持，当用户访问某个站点时会经过运营商网络，不法运营商和黑厂勾结能够截获请求返回内容，并且篡改内容，然后再返回给用户，从而实现劫持页面，轻则插入小广告，重则直接串改成钓鱼网站骗用户隐私

通信过程没有对对方身份进行校验以及对数据完整性进行校验，所以防止 HTTP 劫持的方法只有将内容加密，让劫持者无法破解篡改，这样就可以防止 HTTP 劫持了

http缓存

强缓存

命中强缓存时，浏览器并不会将请求发送给服务器

Expires

缓存过期时间，用来指定资源到期的时间，是服务器端的具体的时间点。也就是说，Expires=max-age + 请求时间，需要和Last-modified结合使用。但在上面我们提到过，cache-control的优先级更高。 Expires是Web服务器响应消息头字段，在响应http请求时告诉浏览器在过期时间前浏览器可以直接从浏览器缓存取数据，而无需再次请求。

Cache-Control

1、max-age 指定一个时间长度，在这个时间段内缓存是有效的，单位是s

2、s-maxage 同 max-age，覆盖 max-age、Expires，但仅适用于共享缓存，在私有缓存中被忽略

3、public 表明响应可以被任何对象（发送请求的客户端、代理服务器等等）缓存

4、private 表明响应只能被单个用户（可能是操作系统用户、浏览器用户）缓存，是非共享的，不能被代理服务器缓存

5、no-cache 强制所有缓存了该响应的用户，在使用已缓存的数据前，发送带验证器的请求到服务器。不是字面意思上的不缓存

6、no-store 禁止缓存，每次请求都要向服务器重新获取数据

协商缓存

若未命中强缓存，则浏览器会将请求发送至服务器。服务器根据http头信息中的Last-Modify/If-Modify-Since或Etag/If-None-Match来判断是否命中协商缓存。如果命中，则http返回码为304，浏览器从缓存中加载资源

Last-Modify/If-Modify-Since

浏览器第一次请求一个资源的时候，服务器返回的header中会加上Last-Modify，Last-modify是一个时间标识该资源的最后修改时间

ETag/If-None-Match

与Last-Modify/If-Modify-Since不同的是，Etag/If-None-Match返回的是一个校验码（ETag: entity tag）。ETag可以保证每一个资源是唯一的，资源变化都会导致ETag变化*。ETag值的变更则说明资源状态已经被修改。服务器根据浏览器上发送的If-None-Match值来判断是否命中缓存