Web 安全 跨站 跨域 XSS CSRF

ops/2024/12/22 2:38:45/

跨站

跨站即 cross-site,它和同站(same-site)相对,对协议和端口号无要求,只要两个 URL 的 eTLD + 1 一致,就能称为同站。那么什么是 eTLD 呢?

eTLD 即 effective top level domain,有效顶级域名,比如 http://juejin.cn 的 eTLD 是 .cn,http://test.org 的 eTLD 是 .org,而 http://chorer.github.io 则是 github.io(注意不是 .io)。而 eTLD + 1 指的是有效顶级域名 + 二级域名,比如对于 http://juejin.cn 来说就是 juejin.cn,对于 http://test.org 来说就是 test.org。

跨域

跨域即 cross-domain,它和同源(same-origin)相对,要求两个 URL 的协议、端口号、域名都一致才能称为同源

XSS

XSS 即 Cross-Site Scripting(跨站脚本攻击),指的是黑客将恶意代码注入页面中,只要打开页面,代码就会执行。XSS 攻击可能导致 Cookie 被窃取、个人信息泄露、劫持流量实现恶意跳转等

CSRF

CSRF 即跨站请求伪造,黑客利用请求会携带 Cookie 的特点,冒充用户身份向正常网站发出请求,执行某些非法操作。它的作用过程大概是这样的:

用户登录 http://article.com,服务器验证通过,返回 Cookie 给浏览器保存
假设 Cookie 没过期,这期间黑客诱导用户访问恶意网站 http://evil.com,这个网站中有这么一段代码:

那么恶意网站就会向 http://article.com 发起一个携带 Cookie 的请求,服务端这边验证没问题,就会把 id 为 1 的文章给删除了
这里黑客之所以可以发起 CSRF 攻击,有下面几个原因:

用户:登录了正常网站且没有登出(Cookie 有效),之后访问了恶意网站
黑客:知道执行请求的 URL 和所有的参数
服务端:只使用 Cookie 进行权限验证,没有任何针对 CSRF 的防御措施
img 是支持跨域请求的。其实黑客也可以直接发送一个 AJAX 请求,不过由于同源策略和 CORS 的限制,http://evil.com 是无法向不同源的 http://article.com 发送请求的,所以黑客使用的是天然可以跨域的 img 标签


http://www.ppmy.cn/ops/143915.html

相关文章

《Qt Creator 4.11.1 教程》

《Qt Creator 4.11.1 教程》 一、Qt Creator 4.11.1 概述(一)简介(二)界面构成 二、常用设置指南(一)环境设置(二)文本编辑器设置(三)构建和运行设置 三、构建…

无人机推流直播平台EasyDSS视频技术如何助力冬季森林防火

冬季天干物燥,大风天气频繁,是森林火灾的高发期。相比传统的人力巡查,无人机具有更高的灵敏度和准确性,尤其在夜间或浓雾天气中,依然能有效地监测潜在火源。 无人机可以提供高空视角和实时图像传输,帮助巡…

使用MATLAB判断矩阵是否正定的方法与例程

在 MATLAB 中,可以通过一些方法判断一个矩阵是否为正定矩阵,本文介绍其中的三种方法 文章目录 方法 1: 使用 chol 函数方法 2: 检查特征值方法 3: 使用 ispositivedefinite 函数(需要自定义)总结 方法 1: 使用 chol 函数 chol 函…

React Router常见面试题目

1. React Router 支持哪几种模式? React Router 支持以下两种主要模式: BrowserRouter (基于 HTML5 History API 的模式) 原理: 利用 history.pushState 和 history.replaceState 操作浏览器历史栈,无需重新加载页面。URL 看起来像传统 URL…

移动网络(2,3,4,5G)设备TCP通讯调试方法

背景: 当设备是移动网络设备连接云平台的时候,如果服务器没有收到网络数据,移动物联设备发送不知道有没有有丢失数据的时候,需要一个抓取设备出来的数据和服务器下发的数据的方法。 1.服务器系统是很成熟的,一般是linu…

DNS 服务器是什么?有什么作用

一、DNS 服务器的定义 DNS 服务器即域名系统(Domain Name System)服务器。它是一种在互联网基础设施中扮演关键角色的服务器。在互联网的世界里,每台设备(如服务器、计算机等)都有一个唯一的 IP 地址,就像…

git企业开发的相关理论(二)

目录 git企业开发的相关理论(一) 八.修改文件 九.版本回退 十.撤销修改 情况一(还没有add) 情况二(add后还没有commit) 情况三(commit后还没有push) 十一.删除本地仓库中的文件 方法一 方法二 十二.理解分支 1.常见的分支工作流程 2.合并冲…

【优选算法---分治】快速排序三路划分(颜色分类、快速排序、数组第K大的元素、数组中最小的K个元素)

一、颜色分类 题目链接: 75. 颜色分类 - 力扣(LeetCode) 题目介绍: 给定一个包含红色、白色和蓝色、共 n 个元素的数组 nums ,原地 对它们进行排序,使得相同颜色的元素相邻,并按照红色、白色、蓝色顺序…