---
title: 安全漏洞防护
date: 2022-11-16 15:51:30
order: 05
categories:
  - 设计
  - 架构
  - 安全
tags:
  - 架构
  - 安全
  - 漏洞
permalink: /pages/71e0bc17/
---

# 安全漏洞防护

## XSS

### 概念

**`跨站脚本（Cross-site scripting，通常简称为XSS）`** 是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了 HTML 以及用户端脚本语言。

XSS 攻击示例：

假如有下面一个 textbox

```html
<input type="text" name="address1" value="value1from" />
```

value1from 是来自用户的输入，如果用户不是输入 value1from,而是输入 `"/><script>alert(document.cookie)</script><!-` 那么就会变成：

```html
<input type="text" name="address1" value="" />
<script>
  alert(document.cookie)
</script>
<!- ">
```

嵌入的 JavaScript 代码将会被执行。攻击的威力，取决于用户输入了什么样的脚本。

### 攻击手段和目的

常用的 XSS 攻击手段和目的有：

- 盗用 cookie，获取敏感信息。
- 利用植入 Flash，通过 `crossdomain` 权限设置进一步获取更高权限；或者利用 Java 等得到类似的操作。
- 利用 `iframe`、`frame`、`XMLHttpRequest` 或上述 Flash 等方式，以（被攻击）用户的身份执行一些管理动作，或执行一些一般的如发微博、加好友、发私信等操作。
- 利用可被攻击的域受到其他域信任的特点，以受信任来源的身份请求一些平时不允许的操作，如进行不当的投票活动。
- 在访问量极大的一些页面上的 XSS 可以攻击一些小型网站，实现 DDoS 攻击的效果。

### 应对手段

- **过滤特殊字符** - 将用户所提供的内容进行过滤，从而避免 HTML 和 Jascript 代码的运行。如 `>` 转义为 `&gt`、`<` 转义为 `&lt` 等，就可以防止大部分攻击。为了避免对不必要的内容错误转移，如 `3<5` 中的 `<` 需要进行文本匹配后再转移，如：`<img src=` 这样的上下文中的 `<` 才转义。
- **设置 Cookie 为 HttpOnly** - 设置了 HttpOnly 的 Cookie 可以防止 JavaScript 脚本调用，就无法通过 document.cookie 获取用户 Cookie 信息。

> :point_right: 参考阅读：
>
> - [Wiki 词条 - 跨站脚本](https://zh.wikipedia.org/wiki/%E8%B7%A8%E7%B6%B2%E7%AB%99%E6%8C%87%E4%BB%A4%E7%A2%BC)
> - [Web 安全测试之 XSS](https://www.cnblogs.com/TankXiao/archive/2012/03/21/2337194.html)

## CSRF

### 概念

**`跨站请求伪造（Cross-site request forgery，CSRF）`**，也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF。它是一种挟持用户在当前已登录的 Web 应用程序上执行非本意的操作的攻击方法。和跨站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。

### 攻击手段和目的

可以如此理解 CSRF：攻击者盗用了你的身份，以你的名义发送恶意请求。

CSRF 能做的事太多：

- 以你名义发送邮件，发消息
- 用你的账号购买商品
- 用你的名义完成虚拟货币转账
- 泄露个人隐私
- ...

### 应对手段

- **表单 Token** - CSRF 是一个伪造用户请求的操作，所以需要构造用户请求的所有参数才可以。表单 Token 通过在请求参数中添加随机数的办法来阻止攻击者获得所有请求参数。
- **验证码** - 请求提交时，需要用户输入验证码，以避免用户在不知情的情况下被攻击者伪造请求。
- **Referer check** - HTTP 请求头的 Referer 域中记录着请求资源，可通过检查请求来源，验证其是否合法。

> :point_right: 参考阅读：
>
> - [Wiki 词条 - 跨站请求伪造](https://zh.wikipedia.org/wiki/%E8%B7%A8%E7%AB%99%E8%AF%B7%E6%B1%82%E4%BC%AA%E9%80%A0)
> - [浅谈 CSRF 攻击方式](http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html)
> - [“每日一题”CSRF 是什么？](https://zhuanlan.zhihu.com/p/22521378)[“每日一题”CSRF 是什么？](https://zhuanlan.zhihu.com/p/22521378)
> - [WEB 安全之-CSRF（跨站请求伪造）](https://www.jianshu.com/p/855395f9603b)

## SQL 注入

### 概念

**`SQL 注入攻击（SQL injection）`**，是发生于应用程序之数据层的安全漏洞。简而言之，是在输入的字符串之中注入 SQL 指令，在设计不良的程序当中忽略了检查，那么这些注入进去的指令就会被数据库服务器误认为是正常的 SQL 指令而运行，因此遭到破坏或是入侵。

攻击示例：

考虑以下简单的登录表单：

```html
<form action="/login" method="POST">
  <p>Username: <input type="text" name="username" /></p>
  <p>Password: <input type="password" name="password" /></p>
  <p><input type="submit" value="登陆" /></p>
</form>
```

我们的处理里面的 SQL 可能是这样的：

```sql
username:=r.Form.Get("username")
password:=r.Form.Get("password")
sql:="SELECT * FROM user WHERE username='"+username+"' AND password='"+password+"'"
```

如果用户的输入的用户名如下，密码任意

```sql
myuser' or 'foo' = 'foo' --
```

那么我们的 SQL 变成了如下所示：

```sql
SELECT * FROM user WHERE username='myuser' or 'foo' = 'foo' --'' AND password='xxx'
```

在 SQL 里面 `--` 是注释标记，所以查询语句会在此中断。这就让攻击者在不知道任何合法用户名和密码的情况下成功登录了。

对于 MSSQL 还有更加危险的一种 SQL 注入，就是控制系统，下面这个可怕的例子将演示如何在某些版本的 MSSQL 数据库上执行系统命令。

```sql
sql:="SELECT * FROM products WHERE name LIKE '%"+prod+"%'"
Db.Exec(sql)
```

如果攻击提交 `a%' exec master..xp_cmdshell 'net user test testpass /ADD' --` 作为变量 prod 的值，那么 sql 将会变成

```sql
sql:="SELECT * FROM products WHERE name LIKE '%a%' exec master..xp_cmdshell 'net user test testpass /ADD'--%'"
```

MSSQL 服务器会执行这条 SQL 语句，包括它后面那个用于向系统添加新用户的命令。如果这个程序是以 sa 运行而 MSSQLSERVER 服务又有足够的权限的话，攻击者就可以获得一个系统帐号来访问主机了。

虽然以上的例子是针对某一特定的数据库系统的，但是这并不代表不能对其它数据库系统实施类似的攻击。针对这种安全漏洞，只要使用不同方法，各种数据库都有可能遭殃。

### 攻击手段和目的

- 数据表中的数据外泄，例如个人机密数据，账户数据，密码等。
- 数据结构被黑客探知，得以做进一步攻击（例如 `SELECT * FROM sys.tables`）。
- 数据库服务器被攻击，系统管理员账户被窜改（例如 `ALTER LOGIN sa WITH PASSWORD='xxxxxx'`）。
- 获取系统较高权限后，有可能得以在网页加入恶意链接、恶意代码以及 XSS 等。
- 经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统（例如 xp_cmdshell "net stop iisadmin"可停止服务器的 IIS 服务）。
- 破坏硬盘数据，瘫痪全系统（例如 xp_cmdshell "FORMAT C:"）。

### 应对手段

- **使用参数化查询** - 建议使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到 SQL 语句中，即不要直接拼接 SQL 语句。例如使用 database/sql 里面的查询函数 `Prepare` 和 `Query` ，或者 `Exec(query string, args ...interface{})`。
- **单引号转换** - 在组合 SQL 字符串时，先针对所传入的参数进行字符替换（将单引号字符替换为连续 2 个单引号字符）。

> :point_right: 参考阅读：
>
> - [Wiki 词条 - SQL 注入攻击](https://zh.wikipedia.org/wiki/SQL%E8%B3%87%E6%96%99%E9%9A%B1%E7%A2%BC%E6%94%BB%E6%93%8A)
> - [避免 SQL 注入](https://github.com/astaxie/build-web-application-with-golang/blob/master/zh/09.4.md)
> - [实例讲解 SQL 注入攻击](http://blog.jobbole.com/83092/)

## DoS

**`拒绝服务攻击（denial-of-service attack, DoS）亦称洪水攻击`**，是一种网络攻击手法，其目的在于使目标电脑的网络或系统资源耗尽，使服务暂时中断或停止，导致其正常用户无法访问。

当黑客使用网络上两个或以上被攻陷的电脑作为“僵尸”向特定的目标发动“拒绝服务”式攻击时，称为分布式拒绝服务攻击（distributed denial-of-service attack，缩写：DDoS attack、DDoS）。

### 攻击方式

- 带宽消耗型攻击
- 资源消耗型攻击

### 应对手段

- **防火墙** - 允许或拒绝特定通讯协议，端口或 IP 地址。当攻击从少数不正常的 IP 地址发出时，可以简单的使用拒绝规则阻止一切从攻击源 IP 发出的通信。
- **路由器、交换机** - 具有速度限制和访问控制能力。
- **流量清洗** - 通过采用抗 DoS 软件处理，将正常流量和恶意流量区分开。

> :point_right: 参考阅读：
>
> - [拒绝服务攻击](https://zh.wikipedia.org/wiki/%E9%98%BB%E6%96%B7%E6%9C%8D%E5%8B%99%E6%94%BB%E6%93%8A)