安全漏洞XSS、CSRF、SQL注入以及DDOS攻擊的介紹和應

本篇內容介紹了“安全漏洞XSS、CSRF、SQL注入以及DDOS攻擊的介紹和應對措施”的有關(guān)知識，在實(shí)際案例的操作過(guò)程中，不少人都會(huì )遇到這樣的困境，接下來(lái)就讓小編帶領(lǐng)大家學(xué)習一下如何處理這些情況吧！希望大家仔細閱讀，能夠學(xué)有所成！

0x01: XSS漏洞

1、XSS簡(jiǎn)介

跨站腳本(cross site script)簡(jiǎn)稱(chēng)為XSS，是一種經(jīng)常出現在web應用中的計算機安全漏洞，也是web中最主流的攻擊方式。

XSS是指惡意攻擊者利用網(wǎng)站沒(méi)有對用戶(hù)提交數據進(jìn)行轉義處理或者過(guò)濾不足的缺點(diǎn)，進(jìn)而添加一些代碼，嵌入到web頁(yè)面中去，使別的用戶(hù)訪(fǎng)問(wèn)都會(huì )執行相應的嵌入代碼。

2、XSS攻擊的危害

• 盜取用戶(hù)資料，比如：登錄帳號、網(wǎng)銀帳號等

• 利用用戶(hù)身份，讀取、篡改、添加、刪除數據等

• 盜竊重要的具有商業(yè)價(jià)值的資料

• 非法轉賬

• 強制發(fā)送電子郵件

• 網(wǎng)站掛馬

• 控制受害者機器向其它網(wǎng)站發(fā)起攻擊

3、防止XSS解決方案

• XSS的根源主要是沒(méi)完全過(guò)濾客戶(hù)端提交的數據 ，所以重點(diǎn)是要過(guò)濾用戶(hù)提交的信息。

• 將重要的cookie標記為http only, 這樣的話(huà)js 中的document.cookie語(yǔ)句就不能獲取到cookie了。

• 只允許用戶(hù)輸入我們期望的數據。例如：age用戶(hù)年齡只允許用戶(hù)輸入數字，而數字之外的字符都過(guò)濾掉。

• 對數據進(jìn)行Html Encode 處理：用戶(hù)將數據提交上來(lái)的時(shí)候進(jìn)行HTML編碼，將相應的符號轉換為實(shí)體名稱(chēng)再進(jìn)行下一步的處理。

• 過(guò)濾或移除特殊的Html標簽。

• 過(guò)濾js事件的標簽。例如 "onclick=", "onfocus" 等。

0x02：CSRF攻擊(跨站點(diǎn)請求偽造)

1、CSRF簡(jiǎn)介

CSRF(Cross-site request forgery)跨站請求偽造，也被稱(chēng)為“One Click Attack”或者Session  Riding，通?？s寫(xiě)為CSRF或者XSRF，是一種對網(wǎng)站的惡意利用。

XSS主要是利用站點(diǎn)內的信任用戶(hù)，而CSRF則通過(guò)偽裝來(lái)自受信任用戶(hù)的請求，來(lái)利用受信任的網(wǎng)站。與XSS攻擊相比，CSRF更具危險性。

2、CSRF攻擊的危害

主要的危害來(lái)自于，攻擊者盜用用戶(hù)身份，發(fā)送惡意請求。比如：模擬用戶(hù)發(fā)送郵件，發(fā)消息，以及支付、轉賬等。

3、防止CSRF的解決方案

• 重要數據交互采用POST進(jìn)行接收，當然是用POST也不是萬(wàn)能的，偽造一個(gè)form表單即可破解。

• 使用驗證碼，只要是涉及到數據交互就先進(jìn)行驗證碼驗證，這個(gè)方法可以完全解決CSRF。

• 但是出于用戶(hù)體驗考慮，網(wǎng)站不能給所有的操作都加上驗證碼。因此驗證碼只能作為一種輔助手段，不能作為主要解決方案。

• 驗證HTTP Referer字段，該字段記錄了此次HTTP請求的來(lái)源地址，最常見(jiàn)的應用是圖片防盜鏈。

• 為每個(gè)表單添加令牌token并驗證。

0x03：SQL注入漏洞

1、簡(jiǎn)介

SQL注入是比較常見(jiàn)的網(wǎng)絡(luò )攻擊方式之一，主要是通過(guò)把SQL命令插入到Web表單遞交或輸入域名或頁(yè)面請求的查詢(xún)字符串，實(shí)現無(wú)帳號登錄，甚至篡改數據庫。

2、SQL注入的危害

• 數據庫信息泄漏：數據庫中存放的用戶(hù)的隱私信息的泄露;

• 網(wǎng)頁(yè)篡改：通過(guò)操作數據庫對特定網(wǎng)頁(yè)進(jìn)行篡改;

• 數據庫被惡意操作：數據庫被攻擊，數據庫的系統管理員帳戶(hù)被竄改;

• 服務(wù)器被遠程控制，被安裝后門(mén);

• 刪除和修改數據庫表信息.

3、SQL注入的方式

通常情況下，SQL注入的位置包括：

• 表單提交，主要是POST請求，也包括GET請求;

• URL參數提交，主要為GET請求參數;

• Cookie參數提交;

• HTTP請求頭部的一些可修改的值，比如Referer、User_Agent等;

4、防止SQL注入的解決方案

• 對用戶(hù)的輸入進(jìn)行校驗，使用正則表達式過(guò)濾傳入的參數;

• 使用參數化語(yǔ)句，不要拼接sql，也可以使用安全的存儲過(guò)程;

• 不要使用管理員權限的數據庫連接，為每個(gè)應用使用權限有限的數據庫連接;

• 檢查數據存儲類(lèi)型;

• 重要的信息一定要加密;

0x04：DDOS攻擊

1、DOS攻擊和DDOS簡(jiǎn)稱(chēng)

• DOS攻擊(Denial of Service  拒絕服務(wù)攻擊)：凡是利用網(wǎng)絡(luò )安全防護措施不足導致用戶(hù)不能繼續使用正常服務(wù)的攻擊手段，都可以被稱(chēng)為是拒絕服務(wù)攻擊，其目的是通過(guò)消耗網(wǎng)絡(luò )寬帶或系統資源，使網(wǎng)絡(luò )或計算機不能提供正常的服務(wù)。

• DDOS(Distributed Denial of Service  ，分布式拒絕服務(wù))，凡是攻擊者通過(guò)控制在網(wǎng)絡(luò )上的傀儡主機，同時(shí)發(fā)動(dòng)他們向目標主機進(jìn)行拒絕服務(wù)攻擊的方式稱(chēng)為分布式拒絕服務(wù)攻擊。

2、DDOS的危害

• 造成客戶(hù)業(yè)務(wù)不可用、利益受損

• 客戶(hù)網(wǎng)內一個(gè)業(yè)務(wù)受到攻擊，客戶(hù)聯(lián)網(wǎng)全面受阻，所有業(yè)務(wù)癱瘓，連鎖反應嚴重

• 攻擊引發(fā)的政治影響、社會(huì )輿論的壓力給企業(yè)帶來(lái)名譽(yù)損失

3、如何防御DDOS攻擊

• 及時(shí)更新系統補丁

• 安裝查殺軟硬件，及時(shí)更新病毒庫

• 設置復雜口令，減低系統被控制的可能性

• 關(guān)閉不必要的端口與服務(wù)

• 經(jīng)常檢測網(wǎng)絡(luò )的脆弱性，發(fā)現問(wèn)題及時(shí)修復。

• 對于重要的web服務(wù)器可以建立多個(gè)鏡像實(shí)現，在一定程度上減輕DDOS的危害

總之就是既要做好過(guò)濾與編碼并使用參數化語(yǔ)句，也要把重要的信息進(jìn)行加密處理，這樣SQL注入漏洞才能更好的解決。