认识达内从这里开始

随着互联网的不断发展，网络安全问题也越来越严重，经常我们能看到企业被网络攻击的信息，今天我们就通过案例分析来简单了解一下，web前端网络安全注意事项。

1)XSS

通过给定异常的输入，黑客可以在你的浏览器中，插入一段恶意的JavaScript脚本，从而窃取你的隐私信息或者仿冒你进行操作。这就是XSS攻击(Cross-SiteScripting，跨站脚本攻击)的原理。

2)SQL注入

黑客会通过构造一些恶意的输入参数，在应用拼接SQL语句的时候，去篡改正常的SQL语意，从而执行黑客所控制的SQL查询功能。这个过程，就相当于黑客“注入”了一段SQL代码到应用中。这就是我们常说的SQL注入。

3)CSRF/SSRF

黑客编写带有恶意JavaScript脚本的网页，通过“钓鱼”的方式诱导你访问。然后，黑客会通过这些JavaScript脚本窃取你保存在网页中的身份信息，通过仿冒你，让你的浏览器发起伪造的请求，终执行黑客定义的操作。而这一切对于你自己而言都是无感知的。这就是CSRF(Cross-SiteRequestForgery，跨站请求伪造)攻击。

用户在浏览器中输入一个URL(比如某个图片资源)，然后服务端会向这个URL发起请求，通过访问其他的服务端资源来完成正常的页面展示。这个时候，只要黑客在输入中提交一个内网URL，就能让服务端发起一个黑客定义的内网请求，从而获取到内网数据。这就是SSRF(ServerSideRequestForgery，服务端请求伪造)的原理。

4)反序列化漏洞

应用在输出某个数据的时候，将对象转化成字符串或者字节流，这就是序列化操作。反序列化操作也就是应用将字符串或者字节流变成对象。

在数据转换成对象的过程中，应用需要根据数据的内容，去调用特定的方法。而黑客正是利用这个逻辑，在数据中嵌入自定义的代码(比如执行某个系统命令)。应用对数据进行反序列化的时候，会执行这段代码，从而使得黑客能够控制整个应用及服务器。这就是反序列化漏洞攻击的过程。

5)信息泄露

避免错误信息泄露代码逻辑，一方面是要通过正确地配置文件，避免错误信息被展示到前端;另一方面是要对错误信息进行检测，这里就需要用到“黑盒”检测了。

所谓“黑盒(BlackBoxTesting，功能测试)”，就是在不获取代码的情况下，直接运行应用，然后对应用的请求和响应进行扫描。比如，在错误信息泄露的场景中，“黑盒”检测可以向应用发起一些必然会导致错误的请求(比如上述例子中的单引号)，然后观察应用是返回完整的错误日志，还是返回某些经过处理的页面。

除了错误信息之外，间接的信息泄露方式还有两种：返回信息泄露和注释信息泄露。

使用一种叫作“白盒”的代码检测方法，来避免关键的注释信息出现在线上的代码中。

所谓“白盒(WhiteBoxTesting，结构测试)”，即直接获取到线上的源代码，然后对它进行扫描。“白盒”扫描注释信息的原理比较简单，因为每一种语言的注释都会带有特殊的标记(比如Java和PHP中的/*等)，可以比较准确地被识别出来。

返回信息过于明确不算是代码层面的漏洞，更多的是产品层面的漏洞。因此，理论上没有任何技术手段能够对这种漏洞进行检测，只能依靠人为的分析审计来避免。解决方案也比较简单，直接将返回信息模糊化、统一化即可。比如在登录的场景中，我们可以将两种登录失败的返回信息，统一修改为“用户名不存在或密码错误”。

信息泄露普遍的方式还是直接泄露。这里我会讲两种常见的直接泄露方式。

(1)一种泄露方式与版本管理工具中的隐藏文件有关。通过版本管理工具(比如SVN和Git)，你能够很方便地进行代码回滚、备份等操作。

(2)除此之外，还有一种常见、也不容易注意的泄露方式，那就是上传代码到GitHub上。

我们可以从以下几个方面进行防护：

(1)屏蔽信息：通过技术手段，将不该被访问的资源进行屏蔽，从而避免信息泄露的产生;

(2)代码检测：从“白盒”和“黑盒”两个方向，对代码、应用等进行检测，对可能的泄露进行预警;

(3)人工审计：对于非技术原因造成的泄露，加强人工审计的工作。同时从公司制度上，去提高员工的安全意识。

6)插件漏洞

我准备了几个问题，你可以看看自己是否对所用的插件了如指掌。

(1)你所使用的所有插件的版本是什么?(包括前端和后端，直接引用和间接引用)

(2)你所使用的这些插件，是否存在漏洞，是否不被维护了，是否被废弃了?

(3)你所使用的这些插件，会在哪些地方发布更新信息和漏洞信息?

(4)你所使用的这些插件，是否会定期更新?

(5)你是否会对更新插件进行完整的测试?

(6)你所使用的这些插件，在安全方面，有哪些配置需要关注?

“0day”，即在插件发布修复漏洞的安全补丁之前，黑客就已经知道漏洞细节的漏洞。换一句话说，“0day”就是只有黑客知晓的未公开漏洞。

因为只有黑客知道这个漏洞，而我们连这个漏洞是什么都不知道，所以“0day”几乎无法防御。除此之外，“0day”还具备极高的攻击有效性，可以说只要应用使用了对应的插件，黑客几乎“战无不胜”。

建立插件漏洞的防护体系。

【免责声明】：本内容转载于网络，转载目的在于传递信息。文章内容为作者个人意见，本平台对文中陈述、观点保持中立，不对所包含内容的准确性、可靠性与完整性提供形式地保证。请读者仅作参考。更多内容请加抖音太原达内IT培训学习了解。