web前端安全---读书笔记

web前端安全---读书笔记

粗略的看完了Web前端黑客技术揭秘前两章了，由于自身的前端功力不深，当然也是初涉前端的安全问题，所以实话还是有些问题看不太明白的。在豆瓣看到的这本书，名字真心有点很肥主流，所以这本书的名气确实在豆瓣上的评分也不高，挑这本书的原因很大程度是由于它的出版时间是2013年，而有名气的白帽子讲web安全却是2012年出版的，就我目前的感知而言，前端的发展速度极快，很多之前的东西很有可能之后就被淘汰，涉及到安全性就更是了。

第一章介绍了web安全的几个关键点：

   浏览器的同源策略

同源策略规定：不同域的客户端脚本在没有明确授权的情况下，不能读写对方的资源。

同不同域呢，同域要求两个站点同协议，同域名，同端口。

域站点http://www.foo.com是否同域

https;//www.foo.com	不同域	https和http是不同的协议，https是加密的ssl传输协议，http是超文本传输协议。
http://foo.com	不同域	域名不同，顶级域和www子域不是一个概念。（顶级域和二级域名的区别，权重什么的会不同的。）
http://www.foo.com:8080	不同域	端口不同，默认的是80端口。tomcat使用的也是8080端口，当然可以自己配置。
http://www.foo.com/a/	同域	同域名，同端口，同协议，就是多了个目录，根目录多个文件夹咯。

关于第三方统计脚本

很多网站都嵌入了。如果第三方的统计脚本被黑客挂马，网站本身就会被危机。这一点，个人用的是Google Analytics，代码是官方生成的，额，应该没什么很大不安因素吧~~:)相对于百度的统计，果断选择了google，只要有个gmail账号，注册，黏贴如下代码到网页呢就可以了。

?

<script>

  (function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){

  (i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o),

  m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m)

  })(window,document,'script','//www.google-analytics.com/analytics.js','ga');

 

  ga('create', 'UA-43018678-1', '网址');

  ga('send', 'pageview');

 

</script>

　　社会工程学

这个名词倒是看这本书第一次听说，看了这本书还是接触到蛮多的概念名词的。

社会工程学，简称社工，说白了就是“骗”。个人认为传奇点的”骗“也就如盗梦空间什么的了...

常用的社工辅助技巧：Google Hack ,SNS垂直搜索，各种手机的数据集合查询...巴拉巴拉的东东。

SQL注入攻击（关于SQL注入更详细~代码注入）

说白了就是一联合查询（个人的数据库好水好水啊唉），以MySql为例，如果用户是通过http;//www.foo.com/user.php?id=1来获取自身的账号信息的，

j加上联合查询语句：

1 union select password 1,1 from users

那么提交请求后，主城的链接的形式就会变成：

http;//www.foo.com/user.php?id=1 union select password 1,1 from users

字后端提交的sql查询语句就会变成：

select username email desc1 from users where id=1 union select password ,1,1 from users

So，user表的password就很可能不安全了。

虽然这本还有很多看不懂的地方，以后慢慢滴应该就会看得懂吧唉~路漫漫其修远兮。