CSRF跨站请求伪造、XSS跨站脚本攻击、SQL注入攻击

常见的一些恶意攻击方式：CSRF跨站请求伪造、CSS跨站脚本攻击、SQL注入攻击常见的-些恶意攻击方式：CSRF跨站请求伪造、XSS跨站脚太攻击、SQL注入攻击-：CSRF跨站请求伪造CSRF （Cross-site request forgery 跨站请求伪造，也被称为 “one click attack” 或者 session riding，通常缩写为 CSRF 或者 XSRF ， 是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则 通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击 相比, CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范， 所以被认为比XSS更具危险性。攻击者在合法用户不知情的情况下，伪装成该合法用户发起恶意请求。被测系统的敏感操作均由POST/GET请求发起。本次测试通过常规的方法（例 如HTML表单和HTML标签），构造POST/GET请求的CSRF漏洞利用，成功进行CSRF攻击。由于被测系统夫采取针对CSRF的防范措施（例如随机 令牌），该系统存在CSRF安全风险。其实即使不是在同一个页面打开，在不同的tab打开也是一样可以通过网站登录验正的，因为受害者首先已经登录了网站，在浏览网站的过程中， 若网站设 置了 Session cookie，那么在浏览器进程的生命周期内，即使浏览器同一个窗口打开了新的tab页面，Session cookie也都是有效的，他们 在浏览器同一个窗口的多个tab页面里面是共享的（注：现在Gmail支持多个tab同时持有多个SessionlD）。所以攻击步骤是，第一，受害者必须在 同一浏览器窗口（即使不是同一 tab）内访问并登陆目标站点；第二，这使得Session cookie有效，从而利用受害者的身份进行恶意操作。 Csrf测试分为可以分为两步：1. 目测是否存在token2. 构造poc，验正csrf存在与否所以我们在进入页面时后台生成随机Token，在提交请求时，将该Token附加于请求数据中，后台对每-个涉及关键操作的请求中的Token进行校验。 例：/URL 径form action=http:/localhost:8080/web-merchant/merchant/productManagement/edit method=post产品名称：button t ype=subm it 保存 /body/html如果为对Token进拦截，将可以通过用户使用者浏览器登入功能，跳过 Token效验这一关，直接用用户的 cookie值，登入账号密码，查看用 的隐私。用用户浏览器打开上面静态页：百度翻译3代通过url读取网讎蟲勤美商户平台-登盘今 Gfile: /C: /Documents%20and%20Settings/Administrator.陈胖子在练腹肌/桌面/修改产品名称.htir:应用 审用户登录-禅道 蟲波塞冬运营平台-登录 蘭百度一下，你就知道产品名称:cookie 值，包含登入者的账号及密码等信息，点击保存按钮是的时候可以直接保存出现上图时，可以进表单提交啦。此时在浏览器中已经有用户的连接到URL径，就可以直接进入想看的信息页面！cookie 值，文此处只是展示页面：有本框中就自动有信息就可以登入aMS密码商户管理珂号验证码报表管理订单遵询登录所以需要一个拦截器，那样就可以防止别人随意浏览信息啦。二：XSS 攻击：跨站脚本攻击(Cross Site Scripting)XSS是一种经常出现在web应用中的计算机安全，它允许恶意 web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代 码和客户端脚本。攻击者用 XSS旁掉访问控制 如同源策(same origin policy)。这种类型的由于被黑客用来编写危害性大的 网络钓鱼(Phishing)攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击，而JavaScript是新型的“ShellCode。数据来源：2007 OWASP Top 10的MITRE数据注：OWASP是世界上最知名的Web安全与数据库安全研究组织在2007OWASP所统计的所有安全威胁中，跨站脚本攻击占到 22%，高居所有Web威胁之首。XSS 攻击的危害包括1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管员帐号2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能3、盗窃企业重要的具有商业价值的资4、非法转账5、强制发送电子邮件6、网站挂马7、控制受害者机器向其它网站发起攻击1.2 XSS 的分类XSS按照攻击用手法的同，有以下三种类型：类型A，本地用，这种存在于页面中客户端脚本自身。其攻击过程如下所示：Alice给Bob发送-个恶意构造 Web的URL Bob点击并查看这个 URL。恶意页面中的JavaScript打开一个具有的 HTML页面并将其安装在Bob电脑上。具有的 HTML 页面包含在 Bob 电脑本地域执的 JavaScript。Alice的恶意脚本可以在Bob的电脑上执 Bob所持有的权限下的命。类型B，反射式，这种和类型A有些类似，同的是 Web客户端使用Server端脚本生成页面为用户提供数据时，如果夫经验正的用户数据被包含在页面中而夫经HTML实体编码，客户端代码能够注入到 动态页面中。其攻击过程如下：Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点运 Alice使用用户名/密码进登录，并存储敏感信息（比如银帐户信息）。Charly发现Bob的站点包含反射性的XSS。Charly编写一个用的URL，并将其冒充为来自Bob的邮件发送给Alice。Alice在登录到Bob的站点后，浏览Charly提供的URL。嵌入到URL中的恶意脚本在Alice的浏览器中执，就像它直接来自 Bob的服务器-样。此脚本盗窃敏感信息（授权、信用卡、帐号信息等）然后在 Alice完全知情的情况下将这些信息发送到 Charly的Web站点。类型C，存储式，该类型是应用最为广泛而且有可能影响到 Web服务器自身安全的， 骇客将攻击脚本上传到Web服务器上，使得所有访问 该页面的用户面临信息泄的可能，其中也包括Web服务器的管员。其攻击过程如下：Bob拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。Charly注意到Bob的站点具有类型C的XSS。Charly 发布一个热点信息，吸引其它用户纷纷阅读。Bob或者是任何的其他人如Alice浏览该信息，其会话cookies或者其它信息将被Charly盗走。类型A直接威胁用户个体，而类型B和类型C所威胁的寸象是企业级 Web应用。产話新t曽页面水卢品塢号:*产品怨称:企产品圏片:企产品品类:和状态：停用在一个新增功能中，产品名字中写入这么一段话，在代码没有进效验的情况下，我点击保存按钮，这条信息将保存在数据库中。 关键时刻即将到 来，也是最重要的东西出现啦localhost: SOSO 显示：确定token 值被显示出来。它自身带大的用户者信息从而也就出来泄秘密token=977dl229-0e de-4b22-8cba-64fc5bab25c2原因就是点击保存按钮的时候，用户数据已经保存在数据库中。卜crip thaler t documen t. cooki e) (/scrip t2 2.50(Null)(Null)1279999 2016-11-24 12:1ES为保护数据，所以需要对前台必须效验，可以对文本框的字符个数进限制。后台也必须效验，可以对 String 类型的特殊符号进转译。当在前 台文本框中输 入 document.cookie()/script卜 Alt; scrip tRgt; document, cooki e 0&1tRgt;2 2. 50的时候，传入后台效验的时候，就对符号进转译存入数据库中变成这样Y(Null)(Null)1289999 2016-11-24 1!页面就也能正常显示旺 他旺地眉*菁启H-1|1-业fLh唱 唱 札gi M-hcd ” 2 4洼旌一 -川 吃牝汉悴(沌悴j A忧比。理诫妙召期住亠吐划-doiij merit, cookie (_)sP2O1&11L782偉W唱化 爨唱轧