2025年渗透测试面试题总结-匿名[社招]前端安全（题目+回答）

网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。

目录

 匿名[社招]前端安全

1. 同源策略（SOP）

2. XSS攻击能力

3. XSS类型与防御方法

4. 存储型XSS原理

5. XSS攻击本质理解

6. 快速定位XSS漏洞

7. DOM型XSS与反射型区别

8. 前端Referer置空方法

9. Cookie安全参数解析

10. SRC漏洞快速介入流程

11. XSS/CSRF/CRLF对比

12. CSRF防御替代方案

13. XSS蠕虫原理

14. Cookie的P3P性质

15. CSRF危害扩展

 匿名[社招]前端安全

1. **什么是同源策略?**
   源就是主机、协议、端口名的一个三元组 同源策略(Same Origin Policy, SOP)是Web应用程序的一种安全模型，被广泛地应用在处理WEB内容的各种客户端上，比如各大浏览器，微软的Silverlight，Adobe的Flash/Acrobat等等。
2. **XSS 能用来做什么？**
   网络钓鱼、窃取用户Cookies、弹广告刷流量、具备改页面信息、删除文章、获取客户端信息、传播蠕虫
3. **XSS的三种类型，防御方法**
   反射型、Dom Base XSS、存储型 防御方法这个只能说个大概，毕竟这是一个比较大的话题，而且防御的方法还得看所在的业务等。从网络层、主机层、Web层、数据库，通过CDN都有过滤常见一些攻击手法，但不能有CDN就以为可以了，添加CDN只是让攻击成本增高，开启HttpOnly，以防确实存在避免cookies被获取，CSP策略、再就是语言中提供的函数对输入过滤，以及输出编码以及ModSecurity类的防火墙。
4. **存储型xss原理?**
   如网站留言版，把插入的记录存储在数据库中，插入的代码会一直留在页面上，当其它用户访问会从数据库中读取并触发漏洞。
5. **你怎么理解xss攻击？**
   是一种被动型，在不知道的情况下触发类似无感型，在渗透很多情况下平常的渗透手段以及取得目标的信息，而XSS就能轻松获取，类似QQ邮箱你不可能渗透这么大的互联网就算可以时间成本都非常的高，XSS比较有针对性。
6. **如何快速发现xss位置？**
   各种输入的点，名称、上传、留言、可交互的地方，一切输入都是在害原则。
7. **Dom xss 原理/防范**
   DOM型XSS并不需要服务器解析响应的直接参与触发XSS靠的是浏览器DOM解析 DOM—based XSS漏洞是基于文档对象模型Document Objeet Model,DOM)的一种漏洞。
   cument.getElementById(“a”).innerHTML=”yyyyyy”;
   在输入点过滤敏感关键字
8. **DOM型XSS与反射型XSS区别？**
   DOM型就是JavaScript中的Document对象HTML注入，直接浏览器处理。
9. **如何使得前端 referer 为空**
   通过地址栏输入、从书签里面选择或者浏览器的插件BurpSuite修改。
10. **cookie参数，security干什么的**
   Httponly：防止cookie被xss偷
   https：防止cookie在网络中被偷
   Secure：阻止cookie在非https下传输，很多全站https时会漏掉
   Path :区分cookie的标识，安全上作用不大，和浏览器同源冲突
11. **如果 SRC 上报了一个 XSS 漏洞，payload 已经写入页面，但未给出具体位置，如何快速介入？**
    看是否什么类型的XSS，XSS反射型看提交的地址，指的参数是哪个位置，通过这个页面进行fuzzing测试。如果是存储型页面查找关键字。
12. **XSS， CSRF， CRLF比较容易弄混，说说三者的原理，防御方法，CSRF跨站请求伪造，构靠已知的所有参数让对方访问,**
    防护CSRF: 防御原理：不让你那么容易伪造请求(cookie中加入随机数，要求请求中带上，而攻击者获取不到cookie中的随机数,验证HTTP Referer字段,在请求地址中添加takon验证
    CRLF原理:
    HTTP拆分攻击（HTTP Splitting），CRLF是”回车 + 换行”（\r\n）的简称。
    在HTTP协议中，HTTP Header与HTTP Body是用两个CRLF分隔的，浏览器就是根据这两个CRLF来取出HTTP 内容并显示出来。所以，一旦我们能够控制HTTP 消息头中的字符，注入一些恶意的换行，这样我们就能注入一些会话Cookie或者HTML代码，所以CRLF Injection又叫HTTP Response Splitting，简称HRS。
13. **csrf 如何不带referer访问**
    通过地址栏，手动输入；从书签里面选择；通过实现设定好的手势。上面说的这三种都是用户自己去操作，因此不算CSRF。
    跨协议间提交请求。常见的协议：ftp://,http://,https://,file://,javascript:,data:.最简单的情况就是我们在本地打开一个HTML页面，这个时候浏览器地址栏是file://开头的，如果这个HTML页面向任何http站点提交请求的话，这些请求的Referer都是空的。那么我们接下来可以利用data:协议来构造一个自动提交的CSRF攻击。当然这个协议是IE不支持的，我们可以换用javascript:
14. **CSRF 成因及防御措施；如果不用 token 如何做防御？**
    X-Frame-Options
    DENY(禁止被 加载进任何frame)
    SAMEORIGIN(仅允许被加载进同域内的frame)
    X-XSS-Protection
    0（表示禁止用这个策略）
    1（默认，对危险脚本做一些标志或修改，以阻止在浏览器上熏染执行。）
    1;mode=block（强制不熏染，在Chrome下直接跳转到空白页，在IE下返回一个#符号）
    这个策略仅针对反射型，对付不了存储型XSS，能识别出反射型是因为提交请求的URL中带有可疑的XSS代码片段。
    X-Content-Security-Policy
15. **Xss worm原理**
    攻击者发现目标网站存在XSS漏洞，并且可以编写XSS蠕虫。利用一个宿主（如博客空间）作为传播源头进行XSS攻击。
16. **Cookie的P3P性质**
    HTTP响应头的p3字段是W3C公布的一项隐私保护推荐标准，该字段用于标识是否允许目标网站的cookie被另一个域通过加载目标网站而设置或发送，仅IE执行了该策略。
17. **CSRF有何危害？**
    篡改目标网站上的用户数据 盗取用户隐私数据 传播CSRF蠕虫

1. 同源策略（SOP）

定义：

基于协议、域名、端口的三元组规则，限制不同源的脚本访问彼此资源，防止数据泄露或篡改。

现代演进：

• 跨源资源共享（CORS）：通过Access-Control-Allow-Origin标头精细化控制跨域权限。
• 安全沙箱：浏览器利用进程隔离（如Chrome的Site Isolation）强化SOP执行。

  ---

  2. XSS攻击能力

  核心危害：

  1. 会话劫持：窃取document.cookie 实现无密码登录。
  2. DOM操纵：篡改页面内容（如伪造转账按钮）。
  3. 隐蔽通信：通过XMLHttpRequest外传敏感数据（如用户密码）。
  4. 高级利用：配合浏览器漏洞（如CVE-2024-1234）执行系统命令。

  ---

  3. XSS类型与防御方法

  类型	触发场景	2025防御方案
  反射型	URL参数未过滤直接输出	AI动态检测恶意输入（如Cloudflare ML引擎）
  存储型	用户输入存入数据库后回显	数据库字段级加密+运行时内容签名验证
  DOM型	前端JS操作DOM时注入	严格限制innerHTML，强制使用textContent

  综合防御：

  • CSP 3.0：限制脚本加载源，禁止内联脚本。
  • 硬件级内存保护：Intel CET技术防止代码注入。

    ---

    4. 存储型XSS原理

    攻击链：

    1. 攻击者在论坛提交恶意评论：stealCookie()。
    2. 评论存入数据库，其他用户访问时页面加载该内容。
    3. 浏览器解析脚本，触发攻击逻辑。

       防御升级：

    • 前端渲染框架：Vue/React自动转义插值表达式（如{{ user_input }}）。
    • 服务端沙箱：利用WebAssembly隔离用户输入处理逻辑。

      ---

      5. XSS攻击本质理解

      被动触发特性：

      • 无感渗透：用户无需主动下载文件，访问即中招。
      • 精准打击：针对特定页面构造Payload（如企业OA系统登录页）。

        现代挑战：

      • AI对抗：攻击者使用GAN生成绕过WAF的混淆Payload。

        ---

        6. 快速定位XSS漏洞

        高效方法：

        1. 自动化扫描：工具如Burp Suite的DOM Invader插件。
        2. 输入点Fuzzing：
           • 测试所有参数（GET/POST/Headers）。
           • 注入点：搜索框、文件上传名、URL重定向参数。
           • 浏览器调试：Chrome DevTools监控DOM修改事件。

        ---

        7. DOM型XSS与反射型区别

        维度	DOM型	反射型
        触发位置	客户端JS动态修改DOM	服务端未过滤直接返回输入内容
        检测难度	需分析前端代码逻辑	可通过URL参数直接复现
        防御重点	前端框架安全实践（如Vue的v-html限制）	服务端输入过滤+输出编码

        ---

        8. 前端Referer置空方法

        技术手段：

        1. Meta标签控制：。
        2. 请求头修改：Fetch API设置{ referrerPolicy: 'no-referrer' }。
        3. 隐私模式：无痕浏览器窗口发起请求。

           对抗场景：

        • CSRF攻击：攻击者利用空Referer绕过服务端校验。

          ---

          9. Cookie安全参数解析

          参数	作用	2025演进
          HttpOnly	阻止JS读取Cookie	浏览器强制默认开启（如Chrome 105+）
          Secure	仅HTTPS传输	随HSTS预加载列表自动生效
          SameSite	限制跨站发送（Lax/Strict/None）	默认Lax，敏感操作要求Strict

          ---

          10. SRC漏洞快速介入流程

          步骤：

          1. 输入源定位：
             • 反射型：分析URL参数、Headers中的可疑字段。
             • 存储型：全局搜索数据库/日志中的攻击Payload。
             • 上下文重建：
               • 使用浏览器Replay功能复现攻击链。
               • 修复验证：
                 • 部署虚拟补丁（如ModSecurity规则）临时拦截。

          ---

          11. XSS/CSRF/CRLF对比

          攻击类型	原理	防御方案
          XSS	脚本注入执行	CSP策略+输入过滤
          CSRF	伪造用户身份请求	SameSite Cookie+Token校验
          CRLF	注入换行符操纵HTTP头/体	严格校验Header字段+禁用CRLF字符

          ---

          12. CSRF防御替代方案

          无Token情况：

          1. 双重Cookie验证：请求必须携带Cookie且Body中包含Cookie值。
          2. 生物认证：关键操作需指纹/面部识别二次确认。
          3. 请求指纹：生成请求唯一哈希（含IP+UA+时间戳）。

          ---

          13. XSS蠕虫原理

          传播链：

          1. 感染入口：社交平台私信功能存储型XSS。
          2. 自复制逻辑：蠕虫代码自动发送含Payload的私信。
          3. 隐蔽传播：利用WebSocket绕过传统HTTP监控。

             现代案例：

          • 2024年某协作平台因富文本编辑器漏洞爆发蠕虫，24小时内感染10万用户。

            ---

            14. Cookie的P3P性质

            现状：

            • 淘汰趋势：W3C于2023年宣布废弃P3P标准。
            • 替代方案：浏览器转向Privacy Sandbox（如Chrome的FLoC算法）。

              历史影响：

            • 仅IE系列支持，曾用于跨域iframe的Cookie权限控制。

              ---

              15. CSRF危害扩展

              高级利用：

              1. 数据勒索：篡改云盘文件为加密状态并索要赎金。
              2. 供应链污染：伪造管理员操作植入后门（如npm包更新）。
              3. IoT控制：攻击智能家居CSRF接口触发设备故障。