安全漏洞XSS、CSRF、SQL注入以及DDOS攻擊

作者：java樂園 2019-09-17 10:06:46

隨著互聯(lián)網(wǎng)的普及，網(wǎng)絡(luò)安全變得越來越重要，程序員需要掌握最基本的web安全防范，下面列舉一些常見的安全漏洞和對應(yīng)的防御措施。

1、XSS簡介

跨站腳本(cross site script)簡稱為XSS，是一種經(jīng)常出現(xiàn)在web應(yīng)用中的計(jì)算機(jī)安全漏洞，也是web中最主流的攻擊方式。

XSS是指惡意攻擊者利用網(wǎng)站沒有對用戶提交數(shù)據(jù)進(jìn)行轉(zhuǎn)義處理或者過濾不足的缺點(diǎn)，進(jìn)而添加一些代碼，嵌入到web頁面中去，使別的用戶訪問都會(huì)執(zhí)行相應(yīng)的嵌入代碼。

2、XSS攻擊的危害

3、防止XSS解決方案

XSS的根源主要是沒完全過濾客戶端提交的數(shù)據(jù) ，所以重點(diǎn)是要過濾用戶提交的信息。
將重要的cookie標(biāo)記為http only, 這樣的話js 中的document.cookie語句就不能獲取到cookie了。
只允許用戶輸入我們期望的數(shù)據(jù)。例如：age用戶年齡只允許用戶輸入數(shù)字，而數(shù)字之外的字符都過濾掉。
對數(shù)據(jù)進(jìn)行Html Encode 處理：用戶將數(shù)據(jù)提交上來的時(shí)候進(jìn)行HTML編碼，將相應(yīng)的符號(hào)轉(zhuǎn)換為實(shí)體名稱再進(jìn)行下一步的處理。
過濾或移除特殊的Html標(biāo)簽。
過濾js事件的標(biāo)簽。例如 "onclick=", "onfocus" 等。

1、CSRF簡介

CSRF(Cross-site request forgery)跨站請求偽造，也被稱為“One Click Attack”或者Session Riding，通常縮寫為CSRF或者XSRF，是一種對網(wǎng)站的惡意利用。

XSS主要是利用站點(diǎn)內(nèi)的信任用戶，而CSRF則通過偽裝來自受信任用戶的請求，來利用受信任的網(wǎng)站。與XSS攻擊相比，CSRF更具危險(xiǎn)性。

2、CSRF攻擊的危害

主要的危害來自于，攻擊者盜用用戶身份，發(fā)送惡意請求。比如：模擬用戶發(fā)送郵件，發(fā)消息，以及支付、轉(zhuǎn)賬等。

3、防止CSRF的解決方案

1、簡介

SQL注入是比較常見的網(wǎng)絡(luò)攻擊方式之一，主要是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，實(shí)現(xiàn)無帳號(hào)登錄，甚至篡改數(shù)據(jù)庫。

2、SQL注入的危害

3、SQL注入的方式

通常情況下，SQL注入的位置包括：

4、防止SQL注入的解決方案

1、DOS攻擊和DDOS簡稱

DOS攻擊(Denial of Service 拒絕服務(wù)攻擊)：凡是利用網(wǎng)絡(luò)安全防護(hù)措施不足導(dǎo)致用戶不能繼續(xù)使用正常服務(wù)的攻擊手段，都可以被稱為是拒絕服務(wù)攻擊，其目的是通過消耗網(wǎng)絡(luò)寬帶或系統(tǒng)資源，使網(wǎng)絡(luò)或計(jì)算機(jī)不能提供正常的服務(wù)。
DDOS(Distributed Denial of Service ，分布式拒絕服務(wù))，凡是攻擊者通過控制在網(wǎng)絡(luò)上的傀儡主機(jī)，同時(shí)發(fā)動(dòng)他們向目標(biāo)主機(jī)進(jìn)行拒絕服務(wù)攻擊的方式稱為分布式拒絕服務(wù)攻擊。

2、DDOS的危害

造成客戶業(yè)務(wù)不可用、利益受損
客戶網(wǎng)內(nèi)一個(gè)業(yè)務(wù)受到攻擊，客戶聯(lián)網(wǎng)全面受阻，所有業(yè)務(wù)癱瘓，連鎖反應(yīng)嚴(yán)重
攻擊引發(fā)的政治影響、社會(huì)輿論的壓力給企業(yè)帶來名譽(yù)損失

3、如何防御DDOS攻擊

總之就是既要做好過濾與編碼并使用參數(shù)化語句，也要把重要的信息進(jìn)行加密處理，這樣SQL注入漏洞才能更好的解決。

責(zé)任編輯：華軒來源：今日頭條