常见的web前端攻击方式有哪些?
2020-07-17 本文已影响0人
loushumei
XSS跨站请求攻击
场景:
一个博客网站,我发表一篇博客,其中嵌入<script></script>脚本.
脚本内容:获取cookie,发送到我的服务器(服务端配合跨域).
有人查看这篇博客,我轻松收割访问者的cookie
XSS预防
- 替换特殊字符,如< 变成 < ; >变成 > ;
-
<script>
变成 & ltscript >;直接显示,而不会作为脚本执行 - 前端要做替换,后端也要做替换,双重保证。
CSRF跨站请求伪造
场景:
你正在购物,看中了某个商品,商品id是 100.
付费接口是 xxx.com/pay?id=100,但没有任何验证.
我是攻击者,看中一个商品,id是200.
我向你发送一个电子邮件,标题很吸引人.
邮件正文隐藏着<img src="xxx.com/pay?id=200"/>.
你一查看邮件,就买了id为 200的商品.
CSRF预防
- 使用post接口
- 增加验证,如密码,短信验证码,指纹等