蓝易云CDN：Web安全测试：SQL注入、XSS与CSRF防御实战

随着网站业务和Web API不断增加，SQL注入、XSS跨站脚本和CSRF跨站请求伪造，仍然是Web应用安全测试中需要重点关注的三类风险。

这三种攻击的原理并不相同：SQL注入主要针对数据库查询逻辑，XSS主要利用浏览器对恶意脚本的执行机制，CSRF则利用用户已经建立的身份认证状态，诱导浏览器发送非预期请求。

如果只依赖服务器防火墙，很难从根本上解决这些问题。合理的防护方案应该包括代码修复、安全测试、WAF检测和访问控制。

一、SQL注入测试与防御

SQL注入是指应用程序将未经安全处理的用户输入拼接到SQL语句中，导致数据库执行了非预期的查询或操作。

例如，网站登录接口、搜索功能、商品筛选和数据查询接口，如果直接拼接用户提交的参数，就可能存在注入风险。

安全测试重点：

• 检查登录、搜索、筛选及查询接口。
• 测试单引号、特殊字符及异常参数的处理情况。
• 检查数字参数和字符串参数是否存在类型校验缺陷。
• 观察异常请求是否引发数据库错误或非预期响应。
• 检查不同请求方式及编码形式下的防护一致性。

核心防御措施：

1. 优先使用预编译语句和参数化查询。
2. 对输入参数实施类型、长度及格式校验。
3. 数据库账号遵循最小权限原则。
4. 避免将数据库错误信息直接返回客户端。
5. 对异常SQL特征和攻击上下文进行WAF检测。

需要注意，简单过滤单引号、SELECT、UNION等关键词，并不能可靠防止SQL注入。真正有效的基础措施是参数化查询。

二、XSS跨站脚本测试与防御

XSS（Cross-Site Scripting）是攻击者将恶意脚本注入网页，使其他用户在访问页面时执行非预期代码。

常见类型包括：

• 反射型XSS： 恶意内容通过请求参数进入响应页面。
• 存储型XSS： 恶意内容被保存到数据库，其他用户访问时触发。
• DOM型XSS： 前端JavaScript在处理不可信数据时，产生不安全的DOM操作。

安全测试重点：

• 检查搜索框、评论区、用户昵称及表单输入。
• 检查URL参数是否被直接输出到HTML页面。
• 检查富文本编辑器和文件上传后的内容处理。
• 测试HTML属性、JavaScript及URL等不同输出上下文。
• 检查前端是否存在不安全的HTML插入操作。

核心防御措施：

1. 根据输出上下文进行HTML、属性和JavaScript编码。
2. 对富文本内容使用经过验证的HTML净化机制。
3. 避免直接使用不安全的innerHTML操作。
4. 配置合理的内容安全策略（CSP）。
5. 使用HttpOnly、Secure及适当的SameSite Cookie属性。

需要强调，输入过滤不能代替输出编码。即使输入内容看起来正常，也必须根据最终输出位置进行安全处理。

三、CSRF跨站请求伪造测试与防御

CSRF（Cross-Site Request Forgery）是指攻击者诱导已经登录网站的用户，在不知情的情况下向目标网站发送非预期请求。

例如，用户登录管理后台后，如果修改账户信息、修改密码或执行其他敏感操作的接口缺少有效校验，就可能被利用。

安全测试重点：

• 检查修改密码、修改资料及其他敏感操作接口。
• 检查请求是否具有独立的CSRF令牌。
• 检查服务端是否验证请求来源。
• 检查GET请求是否被错误用于执行状态修改操作。
• 检查Cookie的SameSite属性及跨站请求处理逻辑。

核心防御措施：

1. 使用服务端生成并验证的CSRF Token。
2. 对敏感请求校验Origin或Referer。
3. 合理设置Cookie的SameSite属性。
4. 状态修改操作使用POST、PUT、PATCH或DELETE等适当方法。
5. 对高风险操作增加重新认证或二次确认。

仅仅将请求方式从GET改为POST，并不能彻底防御CSRF，必须结合令牌验证和浏览器跨站请求控制。

四、如何通过WAF加强三类漏洞防护？

代码层面的安全修复是根本，而WAF可以在网站访问入口增加一道安全检测屏障。

蓝易云CDN将传统规则检测与语义WAF结合，对HTTP/HTTPS请求中的参数、请求结构及上下文特征进行分析。

主要防护方向包括：

• SQL注入识别： 检测异常SQL语法、注入特征及相关请求行为。
• XSS攻击识别： 检测可疑脚本、HTML注入及异常编码组合。
• 异常请求识别： 结合请求方法、参数和访问行为识别可疑操作。
• CC防护： 对异常高频访问进行行为识别和策略限制。
• DDoS防护： 缓解网络层和传输层攻击对业务可用性的影响。

语义WAF能够补充传统固定规则对复杂请求变体识别能力的不足，但不能替代CSRF Token、权限验证及程序代码修复。

五、Web安全测试的正确流程

建议网站按照以下顺序开展安全测试：

1. 资产梳理： 整理网站域名、API接口、登录入口和敏感业务功能。
2. 漏洞检测： 在授权测试环境中检查SQL注入、XSS和CSRF风险。
3. 代码修复： 从数据库查询、输出编码和身份验证机制入手修复问题。
4. WAF配置： 根据业务特点配置检测规则和访问策略。
5. 回归验证： 使用正常请求和安全测试用例验证修复效果。
6. 持续监控： 关注异常请求、拦截记录和误报情况。

对于生产环境，建议先使用观察模式验证规则，再逐步启用拦截策略，避免误拦截正常业务请求。

六、蓝易云CDN：构建网站多层安全防护

蓝易云CDN将缓存加速、DDoS防护、CC防护和语义WAF整合在同一平台，通过CNAME接入减少源站直接暴露，并结合源站访问控制降低绕过CDN攻击的风险。

同时支持免费SSL证书（含通配符证书及自动续期）、HTTP/2、HTTP/3、WebSocket及SSE等常见业务场景。

总结： SQL注入需要从数据库查询机制上防御，XSS需要重视输出编码与脚本执行控制，CSRF需要完善身份状态下的请求验证。三者必须分别治理，再结合CDN和WAF建立纵深防御体系，才能更加全面地保护网站及Web应用安全。