淺析HTML5安全

時間:2019-07-14 來源:海豐科技

隨著WEB應用能夠實現的功能越來越豐富,可以發現BS架構的應用越來越流行和被人們接受,這離不開WEB應用的基礎語言HTML的發展。自1993年HTML發明伊始,HTML一直在穩定的發展著,而HTML5是對HTML標準進行的第五次修訂,W3C(World Wide Web Consortium,萬維網聯盟)在2008年1月22日發布第一個正式的HTML5草案,于2014年10月29日宣布HTML5標準完成并發布,HTML5還很年輕并且還在不斷完善中,目前HTML5已經被大多數瀏覽器支持。

這樣一個全新的、流行的、不斷完善的HTML5標準,我們在看到它給我們生活帶來美好的同時也要意識到存在的安全方面的風險。過去我們基于HTML特性做了許多安全措施,但是隨著HTML5的發展,過去傳統的安全措施往往失去作用,下面淺析HTML5帶來的一些新的安全隱患。

pushState是一個HTML5中修改歷史記錄的API。使用pushState可以隱藏瀏覽器地址欄中的XSS語句進行攻擊,比如使用“http://localhost/vul.php?vul=”來進行XSS攻擊時,地址欄只會顯示“http://localhost/vul.php”,而惡意代碼“console.log('test')”已經執行,再結合短網址技術使得攻擊過程非常隱蔽。

Notification API是HTML5中的桌面通知API。通常瀏覽器會提示我們是否允許桌面通知,如果允許其執行,即使瀏覽器是最小化狀態,Notification也可以跨越瀏覽器在桌面將信息發送給用戶。攻擊者通常結合社會工程學欺騙用戶輸入,安裝假冒的殺毒軟件等等。

CORS(Cross Origin Resources Sharing)即跨源資源共享,是HTML5一種新的跨域請求方式,是為了解決ajax跨域請求問題而誕生的,通過在服務端配置Access-Control-Allow-Origin頭來控制跨域。當Access-Control-Allow-Origin配置為“*”時,表示所有域都可以獲取本域上信息,Access-Control-Allow-Credentials的值可選,其值為True時表示允許請求帶有驗證信息。例如a.com想要訪問b.com上的資源,在b.com上設置Access-Control-Allow-Origin:http://a.com,那么a.com就可以訪問b.com上的資源。

如果B網站的Access-Control-Allow-Origin的值為“*”則存在CORS漏洞,攻擊者可以在A網站上寫入跨域腳本并誘導用戶訪問A網站,則用戶訪問A網站時觸發跨域腳本去請求B網站資源返回給A網站(當Access-Control-Allow-Credentials等于Flase時,無法帶驗證信息請求B網站),A網站是攻擊者自己的網站或是已經被控制的網站,這樣攻擊者就可以以用戶的身份獲取用戶在B網站上的敏感信息。

過去網站使用Cookie存儲用戶信息,一般瀏覽器最多存50個cookie,每個cookie最多存4k的數據,存在很大的限制,所以HTML5提供了更為強大的Web Storage。Web Storage可分為Session Storage和Local Storage,Local Storage的生命周期是永久的,除非用戶自己在瀏覽器中清除,否則就一直存在,Session Storage的生命周期是當前窗口或標簽頁,當前窗口和標簽頁關閉時,Session Storage也就被清除了。

HTML5使用Web Wroker解決了JS只能單線程運行的問題,現在瀏覽器也可以多線程運行JS,這對于攻擊者而言利用一段JS代碼就可以實現多線程破解運算或DDOS攻擊,目前市面上也發現JS挖礦腳本和JS DDOS攻擊腳本在進行攻擊了,其原理就是基于Web Worker。

本文列舉了HTML5對開發者和用戶帶來的幾種安全隱患,可以看到隨著HTML5的功能越來越強大,基于HTML5的腳步木馬也越來越強大,安全隱患也越來越多。作為開發者我們在使用HTML5開發程序時應該多加注意安全問題,作為用戶我們習慣使用瀏覽器上網時,也應該意識到它給我們生活帶來美好的同時,也存在很大安全隱患。

地址:甘肅省蘭州市城關區南濱河東路66號

電話:0931-8278968

傳真:0931-8814250-8027

郵編:730000

官網:http://www.mnycc.club/

江苏省十一选五走势图
云南昆明麻将下载 德国足球在线 如何研究股票指数 无网四人手机单机麻将 手柄玩射击游戏 君鹏佳华配资 十八选七的结果 理财平台哪个好靠谱 炒股软件主要看哪些内容 南京麻将300园子 美式足球规则 东北麻将规则和打法图解 打网球 巨牛盈配资 云南麻将下载软件 有富策略