点击上方“IT那活儿”公众号--专注于企业全栈运维技术分享，不管IT什么活儿，干就完了！！！

1.1 定义

是指攻击者通过注入恶意脚本，使用户在浏览器中执行该脚本，从而达到攻击目的。

1.2 XSS攻击主要分为以下三种类型

• 反射型XSS（Non-Persistent XSS）

  恶意脚本不是存储在服务器上，而是通过用户提供的数据作为参数嵌入到动态生成的网页链接中。当其他用户点击这个链接时，恶意脚本在他们的浏览器中执行。

• 存储型XSS（Persistent XSS）

  恶意脚本被存储在服务器端，例如在数据库或服务器文件中。当其他用户访问存储了恶意脚本的页面时，脚本会被执行。

• DOM-based XSS

  这种类型的XSS攻击源于前端JavaScript对用户输入数据的不当处理，而不是来自服务器端响应。它利用的是浏览器的DOM环境，而不是HTML文档本身的漏洞。

1.3 解决方案

为了有效防御XSS攻击，可以采取以下解决方案：

• 输入验证和过滤

  对所有用户输入进行严格的验证和过滤，确保只接受预期的输入。可以使用白名单过滤，只允许特定字符和标记，同时拒绝其他潜在的恶意脚本。

• 输出编码

  在将用户输入的数据显示在网页中时，应该对其进行适当的输出转义，以确保浏览器将其视为纯文本而不是可执行的代码。

• 使用安全的编程实践

  遵循安全的编程实践，如避免使用动态拼接HTML或JavaScript代码，而是使用安全的模板引擎或框架来确保正确地处理用户输入数据。

• 设置HTTP头部以增强安全性

  通过设置适当的HTTP头部，如Content Security Policy（CSP），可以限制网页可以加载哪些资源，从而减少XSS攻击的风险。

• 使用安全框架和库

  使用经过安全审计和广泛测试的安全框架和库可以大大减少XSS攻击的风险。这些框架和库通常包含内置的安全功能和防御机制。

• 定期更新和补丁

  保持网站和相关软件的更新非常重要，因为新的漏洞和安全威胁不断出现。及时应用安全补丁可以修复已知的漏洞，减少XSS攻击的机会。

2.1 定义

是指攻击者利用用户已经登录的身份，在用户不知情的情况下，伪造请求发送给服务器，从而达到攻击目的。

2.2 危害

CSRF攻击可能导致个人隐私泄露、财产损失等严重后果。攻击者可以盗用用户的身份进行转账、购买商品、发布虚假信息等操作，给用户带来不可估量的损失。

2.3 解决方案 

• 使用CSRF Token

  为每个用户生成一个唯一的令牌（Token），并将其嵌入到表单或请求头中，服务器端在接收到请求时，验证该令牌的有效性。只有令牌有效的请求才会被处理，每次请求后，服务器应生成新的Token，防止重复使用。

• 检查Referer头

  服务器端检查请求头中的Referer字段，确保请求来源于合法的网站。但需要注意的是，Referer字段可以被伪造，因此这种方法不能作为唯一的防御手段。

• 使用验证码

  在进行敏感操作之前，要求用户输入验证码进行验证；验证码可以有效防止自动化攻击，增加攻击者的难度。

• 添加随机请求参数

  向请求中添加随机生成的参数（如时间戳、随机数等），使攻击者无法预测和构造合法的请求；服务器端在接收到请求时，验证这些参数的有效性。

• 限制用户权限

  根据用户的权限级别限制其操作范围，减少潜在危害；确保只有具备相应权限的用户才能执行敏感操作。

• 设置HttpOnly和SameSite属性

  对于存储敏感信息的Cookie，设置HttpOnly属性，禁止JavaScript脚本访问；设置SameSite属性为Strict或Lax，限制Cookie在跨站请求中的发送。这有助于防止CSRF攻击中的Cookie泄露问题。

• 实施CORS策略

  CORS（跨源资源共享）是一套用于指示浏览器是否允许跨域请求的规范；服务器可以配置CORS策略，仅允许来自特定源的请求，从而防止CSRF攻击。

• 增强用户安全意识

  提高用户对网络安全的意识，教育用户不要随意点击不明链接或下载不明文件；提醒用户在浏览网页时保持警惕，避免在不受信任的网站上输入敏感信息。

3.1 定义

指攻击者通过上传恶意文件，从而达到非法操作服务器的目的。

3.2 常见类型

• 任意文件上传漏洞

  攻击者可以随意上传任何类型的文件到目标系统。

• 文件包含漏洞

  Web应用程序在处理用户请求时，允许包含用户上传的文件，导致恶意文件被执行。

• 文件名/路径欺骗漏洞

  攻击者通过构造特殊的文件名或路径，使系统误将恶意文件保存到非预期的位置。
  

3.3 解决方法

• 对上传文件的类型进行严格限制

  只允许上传预定义的安全文件类型，如图片、文档等，通过检查文件扩展名、MIME类型等方式实现，注意防止攻击者使用伪装的文件类型绕过检查。

• 限制上传文件的大小

  防止攻击者上传过大的文件导致服务器资源耗尽或其他安全问题，对超出限制的文件，应拒绝接收并给予提示。

• 对上传文件内容进行安全检查

  使用杀毒软件扫描文件，检查文件内容是否包含恶意代码或敏感字符，对于可执行的脚本文件，应严格禁止上传。

• 选择安全的保存路径

  避免将文件保存到系统敏感目录，如网站根目录、临时文件目录等，使用唯一的随机字符串作为文件名，防止攻击者通过文件名预测、篡改等手段实施攻击。

• 限制用户对上传文件的访问权限

  确保只有授权用户才能访问特定文件，可以通过访问控制列表、认证和授权等机制实现，对于不需要用户直接访问的文件，可以将其保存在无法通过Web访问的目录下。

• 使用安全的编程语言和框架

  选用具有较好安全性的编程语言和框架进行开发，遵循安全编程规范，避免编写存在安全漏洞的代码。

• 定期更新和修补

  定期更新Web应用程序和服务器系统，修补已知的安全漏洞，关注安全公告和漏洞报告，及时采取应对措施。

• 实施安全审计和监控

  对文件上传功能进行安全审计，检查是否存在潜在的安全风险，实施安全监控，及时发现并处理异常上传行为。

END