一文读懂 Web 安全

Posted 2022-01-27 前端日志

Web 安全是互联网中不可或缺的一个领域，这个领域中诞生了大量的黑帽子与白帽子，他们都是安全领域的王者，在平时里，他们利用各种巧妙的技术互相博弈，时不时就会掀起一场 Web 安全浪潮，真可谓神仙打架，各显神通。

本文从一个吃瓜群众的角度，聊一聊 Web 安全的一些有趣故事。

安全世界观

安全攻防案例

总结与思考

在互联网发展之初，IE 浏览器垄断的时期，大家上网的目的都很单纯，主要通过浏览器分享信息，获取新闻。但随着互联网的不断发展发展，一个网页能做的事情越来越多，除了看新闻，我们还可以看视频、玩游戏、购物、聊天等，这些功能都大大丰富了我们的生活。

随着网页功能的逐渐增多，就开始出现了一些黑帽子，他们试图通过一些技术手段来牟取利益。在我小的时候，印象最深的就是木马病毒，它可以监控你的键盘，将你在键盘上敲打的内容发送到黑客的机器上，黑客通过分析这些内容，很容易就能得到你的游戏账号和密码。

在这之后，就诞生出了一些杀毒软件，致力于解决网络上的各种病毒，随着不断地发展，杀毒软件已经成为一台电脑必不可少的软件。

为什么会出现这样的安全问题？

安全归根到底是信任的问题，如果所有人都按照正常的流程去上网，不去谋取私利，也就没有安全问题可谈了。

安全的根本在于信任，但要让所有人互相信任谈何容易。在当前阶段，我们可以做到：持续做好安全防护，让漏洞越来越少，非法攻击越来越困难，这样就能逐渐减少黑帽子的数量，让病毒制造者越来越少。

文件夹下的目录，如果有人想删库跑路，在执行 rm -rf / 时，就会提示无权限。

纵深防御原则

这条原则类似 木桶理论，安全水平往往取决于最短的那块板。

即：不要留下短板，黑帽子们往往可以利用短板为突破口，挖掘更大的漏洞。

数据与代码分离原则

当用户数据被当成代码执行时，混淆了数据和代码的边界，从而导致安全问题。

如：XSS 就是利用这一点去攻击的。

不可预测性原则

这条原则是为了提高攻击门槛，有效防止基于篡改、伪造的攻击。

如：数据库中使用 uuid 代替 number 型的自增主键，可以避免 id 被攻击者猜到，从而进行批量操作。

token 也是利用不可预测性，攻击者无法构造 token 也就无法进行攻击。

有了这些安全原则，我们就可以开干了，接下来介绍几个常见的攻防案例。

安全攻防的案例非常多，这里主要介绍几个出镜率比较高的安全问题。

的用户名，所有能看到此用户名字的页面，都会弹出当前浏览器的 Cookie，如果代码的逻辑是将 Cookie 发送到攻击者的网站，攻击者就能冒充当前用户进行登录了。

XSS 攻击方式有很多，所有和用户交互的地方，都有可能存在 XSS 攻击。

例如：

所有 input 框。

window.location。

window.name。

document.referrer。

document.cookie。

localstorage。

...

由于页面中与用户交互的地方非常多，肯定还有一些 XSS 的攻击方式没有被发现，而一旦被黑帽子发现，就可能造成严重的影响，所以我们务必引起重视。

如果表明猜对了，就延迟 10 s 并返回成功。