web 开发不能不知道的安全问题

随着网络发展，网络信息安全的重要性，也变得越来越重要。此处整理了常见的 web 安全问题，俗话说安全无小事，也希望作为开发人员，在编码设计过程中，有所助益。

常见安全问题

XSS攻击
CSRF攻击
SQL注入攻击
文件上传漏洞
信息泄露
越权
设计缺陷

一、XSS攻击

定义：XSS (Cross Site Script)，跨站脚本攻击，因缩写和 CSS (Cascading Style Sheets) 重叠，所以叫 XSS。XSS 的原理是恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码，当用户浏览该页之时，嵌入其中 Web 里面的脚本代码会被执行，从而可以达到攻击者盗取用户信息或其他侵犯用户安全隐私的目的。

web 开发不能不知道的安全问题

分类：

存储型：注入的恶意代码存储在服务器上（常用于留言板、论坛帖子、CRM），受害者请求服务器获取信息的时候，这些恶意代码就被浏览器成功执行。
反射型：注入的恶意代码没有存储在服务器上，通过引诱用户点击一个链接到目标网站进行实施攻击。
DOM型：注入的恶意代码并未显式的包含在web服务器的响应页面中，但会被页面中的js脚本以变量的形式来访问到的方式来进行实施攻击。

案例：

存储型：论坛帖子界面input输入框中，输入 <script>alert("xss")</script> 进行提交。
反射型：在浏览器输入框中，输入 /xxx.php?name=<script>alert(/xss/)</script>

DOM型：

<script>
var temp = document.URL;
var temp_new = temp+'test'
document.write(decodeURI(temp_new));
</script>

自测的方法：看见输入框就输入：<script>alert("xss")</script> 进行提交

预防措施：

对 style、script、image、src、a 等不安全的因素进行过滤或转义
可以利用一些模板引擎避免 XSS 攻击，比如 Laravel 框架使用的 Blade，还有twig，Smarty 等
可以利用 HTTP-only，将 cookie 设置成 HTTP-only 防止 XSS 攻击

二、CSRF攻击

定义：CSRF（Cross-site request forgery：跨站请求伪造）是攻击者通过伪装成受信任的用户，盗用受信任用户的身份，用受信任用户的身份发送恶意请求。

预防措施：

重要操作不使用GET
让用户手工输入验证码
验证HTTP请求来源
使用框架机制，例如 laravel 的 csrf token机制

三、SQL注入攻击

定义：SQL注入攻击是通过WEB表单提交，在URL参数提交或Cookie参数提交，将怀有恶意的“字符串”，提交给后台数据库，欺骗服务器执行恶意的SQL语句。SQL注入的危害很大，利用SQL注入可以进行，拖库、删库、删表、UDF提权、读取文件等。

案例：

delete from user where id = ?;

传入参数变量为` 1 or 1=1`

执行注入后的Sql语句，可以返回 user 表的全部数据

预防措施：

使用 pdo 对 sql 进行预处理，然后注入参数
使用框架，目前主流框架都对 SQL 注入问题做了封装处理

四、文件上传漏洞

定义：文件上传漏洞是攻击者上传了一个可执行的文件到服务器上执行，可执行文件包括有病毒、木马、恶意脚本等。

危害：
文件上传漏洞与SQL注入或XSS相比，其风险更大，如果存在上传漏洞攻击者甚至可以直接上传一个webshell脚本到服务器上。

预防措施：

文件扩展名检测
文件 MIME 真实类型验证
文件重命名
文件目录设置不可执行权限
设置单独域名的文件服务器

五、信息泄露

定义：信息泄露主要指用户的手机号、邮箱、密码、身份证、地址等敏感数据泄露，还有服务器上的文件和环境变量等敏感数据泄露，还包括将直接将企业源码上传到开发平台等

案例：

开发接口时，接口返回用户明文的手机号、身份证号码等
调试代码时，代码中提交了一些调试信息，未进行删除
debug环境线上环境开启泄露服务器信息、数据库密码等
公司代码上传至公有版本库

预防措施：

敏感数据脱敏（比如手机号、身份证、邮箱、地址）等
代码引入 CodeReview机制、debug是否开启、是否使用打印等泄露核心服务器信息的代码
定期从gitHub、码云等公有版本仓库检测是否泄露源码

六、越权

定义：超出了你自己所拥有的权限，干了你本来不可能干的事情。

分类：

水平越权：用户A未授权可以访问用户B的数据。
垂直越权：未登录用户可以访问需要授权的应用。

预防措施：

对于所有涉及到用户数据的操作，必须严格判断当前用户的身份。
对于所有需要权限控制的位置，必须严格检验用户权限级别。

七、设计缺陷

1、返回信息过多

案例：登录时进行验证，当用户不存在时，返回用户不存在，当用户被禁用时，返回用户已被禁用。

预防措施：

避免攻击者进行恶意尝试，不应该返回过多的信息，可以统一返回“用户名或密码错误”。

2、短信接口被恶意攻击

案例：注册或登录时用户输入手机号码就可直接触发短信接口，这块最容易被攻击者进行短信轰炸。

预防措施：

手机号、验证码参数校验
设置同一手机号短信发送间隔
设置每个IP地址每日最大发送量
设置每个手机号每日最大发送量
升级短信接口的验证方法、验证码机制引入等

3、遍历

案例：使用数据库主键 id，作为业务 id 使用，外部爬虫根据主键轮训接口，爬取数据信息。

预防措施：

数据库引入雪花id概念，对外业务接口使用雪花id作为业务id。