資訊專欄INFORMATION COLUMN
摘要：通過這種方式，攻擊者可以進(jìn)行逐字猜解并最終獲取到完整的敏感數(shù)值。總結(jié)作為前端開發(fā)者，我們與用戶最近，也是網(wǎng)絡(luò)安全防護(hù)的第一道線，要時(shí)刻關(guān)注來自各方面的網(wǎng)絡(luò)攻擊，保障用戶信息的安全。
什么是CSS注入
大家對XSS攻擊都非常熟悉了，可能很少關(guān)注到CSS注入攻擊，以下行為有可能受到CSS注入攻擊：
從用戶提供的URL中引入CSS文件
CSS代碼中采用了用戶的輸入數(shù)據(jù)
可以看下以下兩個(gè)例子
https://www.owasp.org/index.p...
http://www.thespanner.co.uk/2...
CSS屬性選擇器讓開發(fā)者可以根據(jù)屬性標(biāo)簽的值匹配子字符串來選擇元素。 這些屬性值選擇器可以做以下操作：
1.如果字符串以子字符串開頭，則匹配；
2.如果字符串以子字符串結(jié)尾，則匹配；
3.如果字符串在任何地方包含子字符串，則匹配；
4.屬性選擇器能讓開發(fā)人員查詢單個(gè)屬性的頁面HTML標(biāo)記，并且匹配它們的值。
而在實(shí)際環(huán)境中，如果一些敏感信息會(huì)被存放在HTML標(biāo)簽內(nèi)，如CSRF token存儲(chǔ)在隱藏表單的屬性值中，這使得我們可以將CSS選擇器與表單中的屬性進(jìn)行匹配，并根據(jù)表單是否與起始字符串匹配，加載一個(gè)外部資源，例如背景圖片，來嘗試猜測屬性的起始字母。通過這種方式，攻擊者可以進(jìn)行逐字猜解并最終獲取到完整的敏感數(shù)值。
防御策略想要解決這個(gè)問題受害者可以在其服務(wù)器實(shí)施內(nèi)容安全策略（CSP），防止攻擊者從外部加載CSS代碼。
總結(jié)作為前端開發(fā)者，我們與用戶最近，也是網(wǎng)絡(luò)安全防護(hù)的第一道線，要時(shí)刻關(guān)注來自各方面的網(wǎng)絡(luò)攻擊，保障用戶信息的安全。
參考文獻(xiàn)https://portswigger.net/kb/is...
https://www.freebuf.com/artic...
https://24ways.org/2018/secur...
文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/114791.html
摘要：搞開發(fā)離不開安全這個(gè)話題，確保網(wǎng)站或者網(wǎng)頁應(yīng)用的安全性，是每個(gè)開發(fā)人員都應(yīng)該了解的事。阿里巴巴的安全團(tuán)隊(duì)在實(shí)戰(zhàn)中發(fā)現(xiàn)，防御產(chǎn)品的核心是檢測技術(shù)和清洗技術(shù)。表示轉(zhuǎn)賬的目標(biāo)賬戶，表示轉(zhuǎn)賬數(shù)目。 搞 Web 開發(fā)離不開安全這個(gè)話題，確保網(wǎng)站或者網(wǎng)頁應(yīng)用的安全性，是每個(gè)開發(fā)人員都應(yīng)該了解的事。本篇主要簡單介紹在 Web 領(lǐng)域幾種常見的攻擊手段。 1. Cross Site Script（XSS...
摘要：依賴注入并不限于構(gòu)造函數(shù)作為經(jīng)驗(yàn)，注入最適合必須的依賴關(guān)系，比如示例中的情況注入最適合可選依賴關(guān)系，比如緩存一個(gè)對象實(shí)例。 本文翻譯自 Symfony 作者 Fabien Potencier 的 《Dependency Injection in general and the implementation of a Dependency Injection Container in P...
摘要：依賴注入和控制反轉(zhuǎn)，這兩個(gè)詞經(jīng)常一起出現(xiàn)。一句話表述他們之間的關(guān)系依賴注入是控制反轉(zhuǎn)的一種實(shí)現(xiàn)方式。而兩者有大量的代碼都是可以共享的，這就是依賴注入的使用場景了。下一步就是創(chuàng)建具體的依賴內(nèi)容，然后注入到需要的地方這里的等于這個(gè)對象。 前言 React 是一個(gè)十分龐大的庫，由于要同時(shí)考慮 ReactDom 和 ReactNative ，還有服務(wù)器渲染等，導(dǎo)致其代碼抽象化程度很高，嵌套層級(jí)...
閱讀 3850·2023-04-25 20:41
閱讀 2700·2023-04-25 16:40
閱讀 1481·2021-09-23 11:44
閱讀 1284·2021-09-10 10:51
閱讀 1732·2021-09-07 09:59
閱讀 1763·2019-12-27 12:08
閱讀 607·2019-08-30 15:44
閱讀 3370·2019-08-30 11:08
