web安全之XSS和CSRF
阿新 • • 發佈：2019-05-15
分布 cookie 多個 token 成本高 手機 短信 網絡 白名單
a. DDOS常見攻擊三種：
syn flood攻擊：針對網絡tcp三次握手；
CC：應用層攻擊，針對消耗比較大的接口進行不斷請求（比如對redis請求接口問題）；
slowloris: 服務器只能處理1000多個請求，這時候偽造1000多個請求，導致用戶無法進入服務。
b. DDOS防禦常見處理：流量處理，IP+cookie限制頻率，CDN分流，請求較大的處理。
WEB安全方向
瀏覽器沙箱機制
xss反射型，存儲型，這個更多是後端
xss DOM Based，前端處理，decodeURIComponent賦值給InnerHTML
xss防禦：
認證cookie，設置httponly
輸入輸出檢查，進行特殊符號編碼
富文本處理：iframe，script，base，form，使用白名單處理
csrf防禦：
登錄提交示例，後端對登錄驗證請求地址校驗（驗證碼校驗，token隨機值）
前端加驗證碼
網絡攻擊：
1. DNS劫持（服務器請求攔截，勾結第三方運營商在IP做了手腳，但成本高）
2. http內容劫持（彈出其他廣告）,防禦：https（https加密，服務器被攻擊或者是運營商工作人員問題也是防禦不了）
a. DDOS常見攻擊三種：
syn flood攻擊：針對網絡tcp三次握手；
CC：應用層攻擊，針對消耗比較大的接口進行不斷請求（比如對redis請求接口問題）；
slowloris: 服務器只能處理1000多個請求，這時候偽造1000多個請求，導致用戶無法進入服務。
b. DDOS防禦常見處理：流量處理，IP+cookie限制頻率，CDN分流，請求較大的處理。
4. 短信轟炸：偽造一批手機號（加驗證碼處理）
web安全之XSS和CSRF