Web安全思维导图模板_ProcessOn思维导图、流程图

性质

私密性：不被非法获取和利用

可靠性：不丢失不损坏不被篡改

安全层面

代码层面

架构层面

运维层面

思考

了解安全问题的原因

避免开发出带漏洞的代码

如何开发安全的Web项目

安全问题

用户身份被盗用

用户密码泄露

用户资料被盗取

网站数据库泄露

其他

常见安全问题

跨站脚本攻击XSS

跨站请求伪造攻击CSRF

前端Cookies安全性

点击劫持攻击

传输过程安全问题

用户密码安全问题

SQL注入攻击

信息泄露和社会工程学

重放攻击

其他安全问题

Web安全的重要性

直面用户挑战严峻

网站和用户安全是生命线

安全事故威胁企业生产、口碑甚至生存

总结

XSS

简述XSS的原理

简述XSS的防御方法

XSS防御需要注意的点

CSRF

CSRF的原理

CSRF的危害

CSRF如何进行防御

Cookie

Cookies的作用

Cookies和Session的关系

Cookies的特征

如何删除一个Cookie的值

HTTPS

HTTPS是如何保证数据不被窃听

HTTPS是如何保证不被中间人攻击的

部署HTTPS的步骤

SQL注入

SQL注入的原理

SQL注入的危害

文件上传

文件上传漏洞的原理

如何防范文件上传漏洞

存储

如何设计用户密码存储

如何设计登录过程

如何保证用户密码不被窃听

XSS

Cross Site Script (跨站脚本攻击)

攻击原理

程序 + 数据 = 结果

攻击危害

获取页面数据

获取Cookies

发送请求

劫持前端逻辑

偷取网站任意数据

偷取用户资料

欺骗用户

偷取用户密码和登录态

攻击分类

反射型 (url参数直接注入) (可以通过短网址隐蔽)

存储型 (存储到DB后读取时注入)

攻击注入点

HTML节点内容

HTML属性

JavaScript代码

富文本

富文本得保留HTML

HTML有XSS风险

现代浏览器的防御

X-XSS-Protection

0: 关闭

1(默认): 打开

在1后可以指定url: 遭到攻击时可以向url发送通知

防御范围

反射型XSS

参数出现在HTML内容或属性

不能防御JavaScript

浏览器XSS防御有限不可依赖

防御

HTML节点内容

转义&lt; &lt; 和 &gt; &gt;

HTML属性

HTML5之前 & 转义 &amp; &符号转义只能放到最前面否则之后的转义会被再次转义

转义 &quot; &quto;

转义 &apos; &apos;(IE不支持) 实体编号 &#39;

转义 space 实体编号 &#32;

不转义 space 属性要加上 &quot;&quot;

JavaScript

转义 &quot;\&quot; 或者转换成json

\\ 转义 \\\\ 放再最前否则之后会被再次转义

&quot; 转义 \\&quot;

最好就是 JSON encode, JavaScript 中为 JSON.stringify()

富文本

黑名单过滤

通过正则去掉script标签 onerror属性

黑名单过滤方便但是变种太多容易绕过

白名单过滤

按白名单保留部分标签和属性只有允许的标签和属性才可以

白名单比较彻底但是编写麻烦并且规定不好也会有风险

https://github.com/leizongmin/js-xss

CSP

Content Security Policy (内容安全策略)

用于指定哪些内容可执行

HTTP头

child-src connect-src default-src

font-src frame-src img-src

manifest-src media-src object-src

script-src style-src worker-src

&lt;host-source&gt; &lt;scheme-source&gt; &apos;self&apos;

&apos;unsafe-inline&apos; &apos;unsafe-eval&apos; &apos;none&apos;

&apos;nonce-&lt;base64-value&gt;&apos; &lt;hash-source&gt;

&apos;strict-dynamic&apos;

PHP防御XSS

内置函数转义

DOM解析白名单

第三方库

CSP

CSRF

Cross Site Request Forgy (跨站请求伪造)

攻击原理

用户登录A网站

A网站确认身份

B网站界面向A网站发起请求(带A网站身份)

攻击危害

利用用户登录态

用户不知情

完成业务请求

盗取用户资金(转账、消费)

冒充用户发帖背锅

损坏网站声誉

攻击防御

特点

B网站向A网站请求

带A网站Cookies

禁止第三方网站带Cookies

same-site属性(兼容还比较少)

不访问A网站前端

在前端界面加入验证信息

验证码

token

referer为B网站

验证referer

禁止来自第三方网站的请求

PHP防御CSRF

Cookie samesite属性

HTTP referer头

token

Cookie

特性

前端数据存储

后端通过HTTP头设置

请求时通过HTTP头传给后端

前端可读写

遵守同源策略

域名

有效期

路径

http-only

secure

same-site

作用

存储个性化设置

存储未登陆时用户唯一标识

存储已登录用户的凭证

存储其他业务数据

登录用户凭证

前端提交用户名和密码

后端验证用户名和密码

后端通过http头设置用户凭证

后续访问时后端先验证用户凭证

用户ID(可能会被篡改)

用户ID + 签名

SessionID

和XSS的关系

XSS可能偷取Cookies

http-only的Cookie不会被偷

和CSRF的关系

CSRF利用了用户Cookies

攻击站点无法读写Cookies

最好能阻止第三方使用Cookies

安全策略

签名防篡改

私有变换(加密)

http-only(防止XSS)

secure

same-site

前端点击劫持

特征

用户亲手造作

用户不知情

危害

盗取用户资金（转账、消费）

获取用户敏感信息

防御

JavaScript禁止内嵌 (top.location == window.location) (防不住sandbox=&quot;allow-forms&quot;)

X-FRAME-OPTIONS 禁止内嵌

DENY(禁止内嵌)

SAME-ORIGIN(同一个网站)

SAMEORIGIN(iframe的嵌入页和被嵌入页在同一个页下才可以使用)

ALLOW-FROM(只允许指定的网站内嵌)

其他辅助手段

加大用户操作难度(例如验证码)

传输安全

HTTP传输窃听

浏览器-&gt;代理服务器-&gt;链路-&gt;服务器 (传输链路窃听篡改)

窃听用户密码

窃听传输敏感信息

非法获取个人资料

HTTP篡改

插入广告

重定向网站

无法防御的XSS和CSRF攻击

HTTPS

浏览器-&gt;代理服务器-&gt;链路-&gt;服务器 (TLS (SSL) 加密)

中间人攻击

浏览器(加密)-&gt;中间人(加密)-&gt;服务器

如何确定服务器身份

0.浏览器-&gt;CA (内置信任列表)

1.服务器-&gt;CA(申请证书)

2.CA-&gt;服务器(验证域名、颁发证书)

3.浏览器-&gt;服务器(发起请求)

4.服务器-&gt;浏览器(出具证书)

5.浏览器-&gt;服务器(验证通过)

证书无法伪造

证书私钥不被泄露

域名管理权不泄露

CA坚守原则

密码安全

密码的作用

&quot;证明你是你&quot;

原理

存储的密码(对比)&lt;-&gt;(对比)输入的密码

密码的存储

泄露渠道

数据库被偷

服务器被入侵

通讯被窃听

内部人员泄露数据

其他网站(撞库)

存储

严禁明文存储(防泄露)

单向变换(防泄露)

变换复杂度要求(防猜解)

密码复杂度要求(防猜解)

加盐(防猜解)

哈希算法

明文-密文一一对应

雪崩效应

密文-明文无法反推

密文固定长度

常见哈希算法: md5 sha1 sha256

md5 单向变换

单向变换彩虹表

帮助用户加强复杂度

变换次数越多越安全

加密成本几乎不变(生成密码时速度慢一些)

彩虹表失效(数量太大，无法建立通用性)

解密成本增大N倍

明文存储安全隐患大

密码的传输

密码传输的安全性

https传输

频率限制

前端加密意义有限

密码的替代方案

生物特征密码

指纹(唇纹)

声纹

虹膜

人脸

生物特征密码的问题

私密性-容易泄露

安全性-碰撞

唯一性-终身唯一无法修改

接入层注入问题

关系型数据库

存放结构化数据

可高效操作大量数据

方便处理数据之间的关联关系

常见: access / sqlite / mysql / mssql server

SQL语言

select * from table where id = 1

标准化

类似自然语言的描述性语言

用于关系型数据库

可完成增、删、改、查以及各种复杂的数据库操作

SQL注入

危害

猜解密码

获取数据

删库删表

拖库

防御

关闭错误输出

检查数据类型

对数据进行转义

使用参数化查询

使用ORM(对象关系映射)

NoSQL注入和防御

检查数据类型

类型转换

写完整条件

接入层上传问题

上传问题

上传文件

再次访问上传的文件

上传的文件被当成程序解析

上传问题防御

限制上传后缀

文件类型检查

文件内容检查

程序输出

权限控制-可写可执行互斥

社会工程学和信息泄露

信息泄露

泄露系统敏感信息

泄露用户敏感信息

泄露用户密码

信息泄露的途径

错误信息失控

SQL注入

水平权限控制不当

XSS/CSRF

社会工程学

你的身份有你掌握的资料确定

别人掌握了你的资料

别人伪装成你的身份

利用你的身份干坏事

案例

电信诈骗

伪装公检法

QQ视频借钱

微信伪装好友

OAuth思想

一切行为由用户授权

授权行为不泄露敏感信息

授权会过期

利用OAuth思想防止资料泄露

用户授权读取资料

无授权的资料不可读取

不允许批量获取数据

数据接口可风控审计

其他安全问题

DOS攻击

拒绝服务攻击DOS

模拟正常用户

大量占用服务器资源

无法服务正常用户

TCP半连接

HTTP连接

DNS

大规模分布式拒绝服务攻击DDOS

流量可达几十到上百G

分布式(肉鸡、代理)

极难防御

DOS攻击案例

2009年5月19日

全国多省市断网

游戏s私服互相DDOS

换目标，攻击DNS服务器

DNS服务器机器下线

数十万w网站DNS解析瘫痪

XX影音后台疯狂请求解析

各地local DNS瘫痪无法上网

DOS攻击防御

防火墙

交换机、路由器

流量清洗

高防IP

DOS攻击预防

避免重逻辑业务

快速失败快速返回

防雪崩机制

有损服务

CDN

重放攻击

特点

请求被窃听或记录

再次发起相同的请求

产生意外的结果

后果

用户登录态被盗取

用户被多次消费

多次抽奖

防御

加密(HTTPS)

时间戳

token(session)

nonce

签名