安全见闻（2）——开阔眼界，不做井底之蛙

安全见闻二：Web程序构成与潜在漏洞

学习视频来自B站UP主泷羽sec,如涉及侵权马上删除文章
笔记的只是方便各位师傅学习知识,以下网站只涉及学习内容,其他的都与本人无关,切莫逾越法律红线,否则后果自负

在现代网络安全的攻防体系中，Web程序的安全性是非常重要的一环。Web应用的前后端构成->数据库管理->服务器配置等各个层面，都可能存在潜在的漏洞。

Web应用的前端通常使用三大基础语言：HTML、CSS和JavaScript。这些语言的特性和使用方式直接影响Web应用的安全性。

HTML
- 潜在漏洞：点击劫持（Clickjacking）
  
  点击劫持是一种攻击方式，攻击者通过在网页中嵌套一个透明的框架（iframe），诱骗用户点击恶意链接或按钮。了解HTML结构对于防范此类攻击至关重要。
CSS
- 潜在漏洞：注入攻击（Injection Attacks）
  
  注入攻击利用CSS的特性，将恶意代码注入到页面中，可能影响页面的显示效果或用户的交互体验。学习如何安全使用CSS属性是防范此类攻击的关键。
JavaScript
- 常见漏洞：
  - XSS (跨站脚本攻击)
    
    XSS攻击允许攻击者向网站注入恶意脚本，可能导致用户数据泄露。根据注入方式不同，XSS可分为DOM型、反射型和存储型。
  - 点击劫持
    
    同上，利用透明框架欺骗用户点击隐藏的恶意链接。
  - 请求走私（HTTP Smuggling）
    
    攻击者通过篡改HTTP请求，绕过服务器的安全验证。这种攻击依赖于对HTTP协议的深入理解。

代码库是将常用的代码片段、功能或组件封装起来，便于在不同项目中复用。
使用代码库可以节省开发时间，提高代码的可维护性和可重用性。

Vue.js、React、Angular

这些框架通过组件化和模块化提升了开发效率和代码组织性。
虽然它们能够帮助开发者高效构建复杂应用，但其底层依赖于HTML、CSS和JavaScript。
因此，框架中产生的安全问题往往与这些基础语言有关，常见的威胁包括跨站脚本攻击（XSS）。

前端应用若未实施适当的安全措施，可能暴露于多种攻击之下：

XSS

攻击者在网页中注入恶意脚本，当用户浏览该页面时，脚本被执行，可能导致用户信息泄露等。
CSRF (跨站请求伪造)

攻击者诱骗用户浏览器在已登录的网站上发送恶意请求，可能执行未授权操作。
点击劫持

欺骗用户点击隐藏的恶意链接，可能导致用户执行危险操作。
访问控制漏洞

系统中的访问权限设置存在缺陷，导致攻击者访问、修改或删除受保护的资源。
Web缓存漏洞

不当的缓存管理可能泄露敏感数据，例如用户信息和文件。
跨域漏洞

例如跨站脚本（XSS）攻击，跨源资源共享（CORS）绕过，JSONP 漏洞，跨站请求伪造（CSRF）
请求走私

利用了 HTTP 协议中请求和响应的解析和处理方式的不一致性，攻击者通过有造特定的恶意请求，以欺骗服务器和代理服务器，从而绕过安全机制，执行未经授权的操作。