常见的web攻击手段

妖狐艹你老母 2024-04-18 20:18 89阅读 0赞

![640?wx\_fmt=gif][640_wx_fmt_gif]

学习更多Java干货，戳上面的

蓝色字题

关注我！

## XSS：跨站脚本攻击 ##

### \-典型实例为： ###

当用户在表达输入一段数据后，提交给服务端进行持久化。如果此用户输入的是一段脚本语言，而服务端

用户输入的数据没有经过转码、校验等就存入了数据库，在其他页面需要展示此数据时，就会执行此用户输入的语言。简单来说，JS的强大不用我来解释吧

### \-推荐防御措施： ###

对用户输入的信息进行转义，例如<>'等等特殊字符。当然，其实很多前端框架也支持这么做，快查一查你使用的框架支持么。

## CRSF：跨站请求伪造 ##

### \-典型实例为： ###

如果A银行存在CRSF漏洞，有用户在登陆完A银行后没有退出，A银行的cookie信息保存在浏览器。然后呢，用户不小心进入了恶意网站，

此网站识别出了用户客户端存在A银行的信息，那么恶意网站就可以根据此cookie去请求A银行的转账接口，那么A银行会误认为是用户进行操作从而使恶意网站得逞。

### \-推荐防御措施： ###

假如我们的网站是A银行，为了防止用户信息泄露，我们应该做这三件事：

将cookie设置为HttpOnly，让恶意网站无法通过脚本获取到cookie

## SQL注入 ##

### \-典型实例为： ###

用户输入的信息带有 delete 、drop等危害性十足的sql，就像用户登录时输入了用户名 “aaa;drop table user”,那么在我们没有任何防御措施的情况下就会变为“select \* from user where username=‘aaa’;drop table user”。然后呢，表就没了，你说尴不尴尬？

### \-推荐防御措施： ###

使用原生jdbc时要使用PreparedStatement 而不要使用Statement，

## 文件上传漏洞 ##

### \-典型实例为： ###

没有对用户上传的文件做校验，恶意用户长时间上传超大文件占用系统资源，上传可执行脚本获取获取服务器信息

### \-推荐防御措施： ###

对用户上传做限流，每个用户每天最多上传多少内容。

## DDOS：分布式拒绝服务攻击 ##

### \-典型实例为： ###

1.攻击者提前控制大量计算机，并在某一时刻指挥大量计算机同时对某一服务器进行访问来达到瘫痪主机的目的。

2.相信大家都知道TCP三次握手的机制，（如不了解请参考文章底部补充）攻击者利用此机制对服务器返回的ACK确认包不回应，这样服务器就会存在大量的等待列表，不断重试，等待队列满了以后不再接受TCP连接，从而阻挡了正常用户的使用

3.攻击者向DNS服务器发送海量的域名解析请求，DNS首先查缓存，如果缓存不存在的话会去递归调用上级服务器查询，直到查询到全球13台根服务器为止，当解析请求过多时正常用户访问就会出现DNS解析超时问题

### \-推荐防御措施： ###

使用缓存，当缓存中存在时就直接取出，不要频繁的连接数据库。

缩短 SYN Timeout时间，即缩短从接受到SYN报文到确定这个报文无效并丢弃该连接的时间。

限制源ip每秒发起的DNS请求等

## 补充：TCP三次握手机制 ##

首先，请求端（客户端）发送一个包含SYN标志的TCP报文，SYN即同步（Synchronize），同步报文会指明客户端使用的端口以及TCP连接的初始序号；

第二步，服务器在收到客户端的SYN报文，将返回一个SYN+ACK的报文，表示客户端的请求被接受，同时TCP序号被加一，ACK即确认（Acknowledgment）。

第三步，客户端也返回一个确认报文ACK给服务器端，同样TCP序列号被加一，到此一个TCP连接完成。

## 结语 ##

写这篇文章的目的呢，其实不是说让大家通过这篇文章成为一个安全高手或者怎么的，只是想让大家了解一下这些常见的攻击手段。当你知道了这些攻击手段后看一下你手中的项目是否需要预防一下，毕竟未雨绸缪总是比临阵磨枪好的多，不是吗？

![640?wx\_fmt=gif][640_wx_fmt_gif 1]

推荐阅读

*  [Java进阶路线][Java]
 *  [无套路免费技术干货][Link 1]

![640?wx\_fmt=jpeg][640_wx_fmt_jpeg]

点赞收藏转发好看再走呗!

![640?wx\_fmt=gif][640_wx_fmt_gif 2]

[640_wx_fmt_gif]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/3e682c8ee66a4cf496fb17a431cfcc59.gif
[640_wx_fmt_gif 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/4bf26d282770446d83175cb14b0ed30f.gif
[Java]: http://mp.weixin.qq.com/s?__biz=MzU5MDgzOTYzMw==&mid=2247483849&idx=2&sn=42e0c05722a73612d594e348f1411ca9&chksm=fe396bf7c94ee2e16b7451d7c537a4e2252ded5d17af927591860c9c45b17f624c16ebe6976b&scene=21#wechat_redirect
[Link 1]: https://mp.weixin.qq.com/s?__biz=MzU5MDgzOTYzMw==&mid=2247483847&idx=2&sn=113fdddb2e332424e9c3d2de552d24c0&scene=21#wechat_redirect
[640_wx_fmt_jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/be2edf096c4d41a59be012578de8c136.png
[640_wx_fmt_gif 2]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/a32639a476c34e1c8cbfd6a133b340fa.gif

发表评论取消回复

表情：

评论列表（有 0 条评论，89人围观）

还没有评论，来说两句吧...

相关阅读

相关常见的web攻击手段

[640?wx\_fmt=gif][640_wx_fmt_gif] 学习更多Java干货，戳上面的蓝色字题关注我！ XSS：跨站脚本攻击 \-典型实例...

妖狐艹你老母/ 2024年04月18日 20:18/ 0 赞/ 90 阅读

相关 Kali常见攻击手段

Kali常见攻击手段 > `注意:`仅用于教程和科普，切勿做违法之事，否则后果自负 1 网络攻击手段 > 请正确使用DDos和CC攻击，不要用来做违反当地法律法规

￡神魔★判官ぃ/ 2024年03月27日 14:02/ 0 赞/ 83 阅读

相关有备无患 | 黑客的常见攻击手段有哪些？

我们基本都能认识到黑客的危险性，但依然有为数众多的网络用户认为，黑客距离自己很遥远，没必要专门攻击自己这样的普通人，这种观念是错误的。网络中的黑客就像现实生活中的小偷、强盗

男娘i/ 2024年03月26日 20:26/ 0 赞/ 94 阅读

相关常见的Web攻击手段之CSRF攻击

一、CSRF介绍 CSRF攻击的全称是跨站请求伪造（ cross site request forgery)，是一种对网站的恶意利用，尽管听起来跟XSS跨站脚本攻击有点相

﹏ヽ暗。殇╰゛Y/ 2023年06月09日 12:29/ 0 赞/ 26 阅读

相关 Linux安全-常见的攻击手段和防御手段

Linux安全问题以一张思维导图以概之 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aH

末蓝、/ 2023年02月11日 07:29/ 0 赞/ 297 阅读

相关常见的DDos攻击手段

常见的DDos攻击手段 DDos攻击现在有比较多的方式，如SYN Flood，DNS query， ICMP Flood， UDP Flood等。

缺乏、安全感/ 2022年08月23日 00:59/ 0 赞/ 25 阅读

相关 Web攻击手段之XSS攻击,CRSF, SQL注入攻击

Web攻击手段之XSS攻击,CRSF, SQL注入攻击 1. XSS攻击 XSS攻击的全称是跨站脚本攻击，指的是攻击者在网页中嵌入恶意

朴灿烈づ我的快乐病毒、/ 2022年08月23日 00:59/ 0 赞/ 35 阅读

相关常见的攻击手段——DDOS，CC攻击

DDoS即分布式拒绝服务攻击要理解DDos，得先从DoS说起。最基本的DoS攻击就是利用合理的客户端请求来占用过多的服务器资源，从而使合法用户无法得到服务器的响应。

偏执的太偏执、/ 2021年11月22日 23:46/ 0 赞/ 537 阅读

相关常见的攻击手段——XSS，CSRF

XSS（跨站脚本攻击）跨站脚本攻击指的是攻击者在网页中嵌入恶意脚本程序，当用户打开该网页时，脚本程序便开始在客户端的浏览器执行以盗取客户端cookie，盗取用户名密码，

布满荆棘的人生/ 2021年11月22日 23:44/ 0 赞/ 479 阅读

相关 TCP/IP 常见攻击手段

> 这一篇主要和大家一起学习回顾关于 TCP/IP 的常见攻击，至少有一个基本的认识前言 ![在这里插入图片描述][format_png] 前言 1 IP欺

た入场券/ 2021年09月07日 06:16/ 0 赞/ 393 阅读