xss和csrf概要

Xss

是什么

XSS是跨站脚本攻击，是一种代码注入攻击。攻击者通过在用户的浏览器中插入注入恶意脚本，利用这些恶意脚本，攻击者可获取用户的敏感信息如 Cookie、SessionID 等，进而危害数据安全。

为什么产生

程序对输入和输出的控制不够严格,导致"精心构造“的脚本输入后,在输到前端时被浏览器当作有效代码解析执行

如何防范

有三个种类，

1. 反射型XSS服务端返回脚本，客户端执行、
   
2. 储存型XSS后端存储了非法脚本，并且前端直接显示
   
3. DOM XSS基于DOM或本地的XSS攻击
   

一般情况下，前两种是后端RD的责任，而 DOM 型 XSS 攻击不发生在后端，是前端 RD 的责任。

对于 HTML 转义通常只有一个规则，就是把 & < > " ' / 这几个字符转义掉，确实能起到一定的 XSS 防护作用，但并不完善：

'<' 转义为 &lt;

'>' 转移为 &gt;

\ : \\

/ : \/

; : ；

DOM 型 XSS 攻击，实际上就是前端代码不够严谨，把不可信的数据当作代码执行了。

使用.innerHTML、document.write()、v-html时要特别小心，或尽量不适用，不要把不可信的数据作为 HTML 插到页面上，而应尽量使用 .textContent、.setAttribute() 等。

危害

1. 挂马  
   
2. 盗取用户cookie，就可以模拟你去做一些事情，删除目标文章，篡改数据，嫁祸等。
   
3. D-DOS攻击（拒绝服务）
   
4. 钓鱼
   
5. 蠕虫式挂马攻击、刷广告、刷流量、破坏网上数据。
   

CSRF

跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。

利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。

1. 登录了一个受信任的网站A，并且本地存放了Cookie；
   
2. 在不关闭A的情况下，访问了危险网站B；
   

攻击者盗用了你的身份，以你的名义发送恶意请求。

CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账。

造成的问题包括：个人隐私泄露以及财产安全。

防护策略

通过增强自己网站针对CSRF的防护能力来提升安全性。

1. 尽量使用POST，少用get，因为get太容易被人利用了，相对降低被攻击的风险
   
2. 再加入验证码（划一下），让用户输入验证码，或者划一下，能够确保这是一种用户行为，现代化比较智能的验证码，很难破解。
   
3. Referer:http头上有个字段referer能记录记录当前请求的来源地址，在后端判断这个refere的值不是当前网页，那么就直接拒绝这个请求。
   

也可以直接规定只能从某个网页过来，如果不是从某个网页过来，直接拒绝

4. Anti CSRF Token  从后端拿csrfToken，放到自己的请求头中，让后端判断。