web安全之XSS、|web安全之XSS、 CSRF攻击原理和防范以及HTTPS

1.什么是 XSS 攻击?使用eval 有什么问题?如何防范 XSS 攻击?
回答:
【web安全之XSS、|web安全之XSS、 CSRF攻击原理和防范以及HTTPS】什么是xss攻击:
攻击者通过篡改网页,嵌入恶意js代码,当用户访问网页时,被嵌入的js代码会被执行,从而达到恶意攻击用户的一种方式
使用eval 有什么问题:
1、安全问题。因为它的动态执行特性,给被求值的字符串赋予了太大的权力,如果通过http传过来的是一段恶意的字符串,那么浏览器也会当做是js语句来执行,会造成一定的风险
2、降低性能
如何防范 XSS 攻击:
1、对输入的字符串做长度限制
2、对用户的输入进行过滤,如对& < > " ' /等进行转义;
3、获取用户的输入,不用innerHtml,用innerText.
2.CSRF 攻击的原理是什么?如何防范?
回答:
CSRF攻击的原理:
跨站请求伪造,攻击者构造某个网站后台接口的请求地址,诱导用户去点击或者用特殊的方法让 该请求地址自动加载,用户在登陆的情况下,这个请求被服务器端接收后误以为是用户合法的操作,
对于get形式的接口跨域轻易被攻击,对于psot形式的接口也不是100%安全,攻击者可诱导用户带from表单可用post形式提交参数的页面
如何防范:
1、验证 HTTP Referer 字段
2、在请求地址中添加 token 并验证
3、在 HTTP 头中自定义属性并验证
3.Https 是如何保证安全的?
回答:
通过证书获得网站服务器的公钥。证书由CA机构加密后提供,并且受上层CA背书,上层CA机构往往还有更上层CA认证,最终有个根CA,由此保证该公钥为网站服务器的真正公钥。
浏览器得到公钥后生成对称加密AES秘钥,发送请求时AES加密数据,将AES秘钥用网站公钥加密后传输给服务器。
服务器用私钥解开数据得到浏览器AES秘钥,并用该秘钥解开得到浏览器发送的原始数据。
以后服务器和浏览器就用只有他们知道的AES对称秘钥加密数据交流,这样即使泄露第三方也无法解密。

    推荐阅读