常见的Web攻击方式及对应防御

我不是女神ヾ 2022-11-05 10:58 151阅读 0赞

### Web攻击 ###

*  XSS（跨站脚本攻击）
 *  CSRF（跨站请求伪造）
 *  Http Heads攻击
 *  SQL 注入
 *  DOS攻击（拒绝服务攻击）
 *  DDOS攻击 （分布式拒绝服务攻击）

# XSS（跨站脚本攻击） #

**简介：**

XSS攻击（Cross Site Scripting）通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常JavaScript，但实际上也可以包括Java、VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。

**分类：**

*  存储型：攻击者输入一些数据并存入数据库中，其他浏览者看到会被攻击。
 *  反射型：将攻击代码放在url地址的请求参数中。

**防御方式：**

*  `HttpOnly`:这个属性可以禁止浏览器页面 Javascript 访问带有 HttpOnly 属性的Cookie，达到防止 XSS 攻击者窃取 Cookie的目的。
 *  输入输出检查：对输入数据进行过滤和消毒处理，过滤用户输入的任何数据，对一些特殊字符进行转义。

# CSRF（跨站请求伪造） #

**简介：**  
CSRF（Cross-site request forgery跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。可以这样来理解：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。

**防御方式：**

*  验证HTTP Referer字段：该字段记录了该HTTP请求的来源地址
 *  在请求地址中添加token并验证
 *  在HTTP头中自定义属性并验证
 *  使用验证码

# Http Heads攻击 #

**简介：**  
凡是用浏览器查看任何WEB网站，无论你的WEB网站采用何种技术和框架，都用到了HTTP协议。  
HTTP协议在Response header和content之间，有一个空行，即两组CRLF（0x0D 0A）字符。这个空行标志着headers的结束和content的开始。“聪明”的攻击者可以利用这一点。只要攻击者有办法将任意字符“注入”到headers中，这种攻击就可以发生。

**防御方式：**  
过滤所有的`response headers`，除去header中出现的非法字符

# SQL 注入 #

**简介：**  
SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

**防御方式：**

*  **基础过滤与二次过滤**：对用户输入进行检查，确保数据输入的安全性，在具体检查输入或提交的变量时，对于单引号、双引号、冒号等字符进行转换或者过滤，从而有效防止SQL注入。
 *  **分级管理**：对用户进行分级管理，严格控制用户的权限，对于普通用户，禁止给予数据库建立、删除、修改等相关权限，只有系统管理员才具有增、删、改、查的权限。
 *  **参数传值**：禁止将变量直接写入到SQL语句，必须通过设置相应的参数来传递相关的变量。从而抑制SQL注入。数据输入不能直接嵌入到查询语句中。同时要过滤输入的内容，过滤掉不安全的输入数据。
 *  **数据库信息加密**
 *  **多层验证**

# DOS攻击（拒绝服务攻击） #

**简介：**

DOS是Denial of Service的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。

**常见DOS攻击方式及防范：**

*  SYN Flood攻击  
    第一种是**缩短SYN Timeout时间**  
    第二种方法是**设置SYN Cookie**，就是给每一个请求连接的IP地址分配一个Cookie，如果短时间内连续收到某个IP的重复SYN报文，就认定是受到了攻击，以后从这个IP地址来的包会被一概丢弃。
 *  Smurf攻击  
    在cisco路由器上配置如下可以防止将包传递到广播地址上:Router(config-if)\# no ip directed-broadcast
 *  Ping of Death
 *  泪滴攻击

# DDOS攻击 （分布式拒绝服务攻击） #

**简介：**

分布式拒绝服务攻击（Distributed Denial of Service），简单说就是发送大量请求是使服务器瘫痪。DDos攻击是在DOS攻击基础上的，可以通俗理解，dos是单挑，而ddos是群殴

**防御方式：**

*  增加带宽
 *  优化路由及网络结构
 *  在系统中加装防火墙系统
 *  提高网络管理人员的素质