【青训营】浅析Web安全

攻击篇

XSS

Stored XSS

Reflect额度 XSS

DOM-based XSS

Reflected vs DOM-based

CSRF

CSRF–GET

Injection

Injection demo 1

Infection 不止于SQL

injection demo 2

SSRF demo

DoS

ReDoS

DDoS

中间人攻击

防御篇

XSS

字符串生成DOM

用户上环svg

用户自定义样式

同源策略

CSP

CSRF的防御

token

iframe攻击

CSRF anti-pattern

SameSite Cookie

防御CSRF的正确姿势

在中间件中防御CSRF

Injection

Injection beyond SQL

• 最小权限原则
• 建立允许名单+过滤
• 对URL类型参数进行协议、域名、ip等限制

DDos

防御中间人

HTTPS

HTTPS的一些特性

• 非对称加密
• 对称加密

完整性

数字签名

不可抵赖：数字签名

成也证书 败也证书

SRI

补充内容