Cookie安全与CSRF和XSS攻击知识点收集

个人简单理解：

1、XSS最简单的理解就是可以在表单提交的内容上嵌入JS执行代码，然后页面渲染的时候没有过滤时会自动执行这个脚本。

2、CSRF可以理解为当你登录了京东，浏览器上保存了你登录的Cookie，此时你有打开另一个网页，这个网页上有一个IFrame只想你了你的京东后台订单列表的，那么这个IFrame就能正常读取你订单的数据，注意，这个数据实在另一个网页上读取的。

3、Cookie来说，现在的浏览器基本都已经杜绝了JS能正常读取其它站点的Cookie，如果要获取只能在当前网页上嵌入其它代码来获取本站的Cookie。

4、综上所述，其实CSRF离不开Cookie，并不是说要获取Cookie，而是利用浏览器保存已有的Cookie数据来做跳转，而XSS恶意代码执行是辅助CSRF去执行，当然，XSS还有可能有其它用途，比如挖矿等等。现在基本上都不用打开另外一个页面去获取Cookie，结合XSS在本站下自动执行脚本动作，也不用获取Cookie，直接提交时默认就已经带上了本站的全部Cookie信息。所以这个XSS是实际操作CSRF是一个攻击概念。

解决方式简单理解：

1、Cookie上有几个属性能杜绝JS获取本地Cookie，比如：HttpOnly。Secure是只能在SSL下使用。现在的浏览器都已经杜绝了跨站点通过JS获取Cookie的，所以不存在能在B站获取A站的全部Cookie。

2、CSRF的防御可以网页上增加tooken的机制，比如Java框架提供了OWASP-CSRFGuard，再比如使用JWT这些token认证。同样在渲染的HTML内容上增加meta头限制使用IFrame等。

3、XSS的功能可以用简单过滤提交内容来限制。

5、综上所述，其实主要是增加其复杂性，但如果从网络运营商上就已经控制了你的网络入口，那么你请求的任何内容都经过网络运营商时，这些内容都可以被难道，从而伪造出可提交的数据。当然一些通过SSL可以比较有效的防范，但依然还是有办法实现的。所以，这些功能只能做到99%的防范，不能完全杜绝。

Cookie：

https://segmentfault.com/a/1190000004556040

https://www.owasp.org/index.php/HttpOnly

http://www.cnblogs.com/dynasty/archive/2012/01/29/2330913.html

http://xmong.iteye.com/blog/1566102

http://www.freebuf.com/articles/web/42802.html

CSRF：