【常见WEB攻击与防御】作为一个web开发者，web安全是需要了解的，web攻击是针对用户上网行为或网站服务器等设备进行攻击的行为，如植入恶意代码，修改网站权限，获取网站用户隐私信息等等。从互联网诞生起，网络安全威胁就一直伴随着网站的发展，各种web攻击和信息泄露也从未停止。本文介绍常见web攻击方式及预防措施。
- XSS（跨站脚本攻击）
- CSRF（跨站请求伪造）
- SQL注入
- DDOS
比如在一个发布内容系统中，攻击者在内容中嵌入类似的代码
预防措施：
- 将重要的cookies标记为http only，这样JavaScript中的document.cookie语句就不能获取到cookie了；
- 只允许用户输入我们期望的数据，如年龄的textbox中只允许输入数字，其余过滤；
- 对数据进行Html Encode处理，如<转化为<；、&转化为&；
- 过滤或移除特殊的Html标签，如：script、iframe；
- 过滤JavaScript事件的标签，如“onclick=”、“onfocus”等。
用户登录信任站点A -> 未退出访问恶意站点B -> 从站点B发起访问站点A的恶意请求
文章图片
预防措施：
- Cookie设置HttpOnly，JS就无法读取到cookie中的信息，避免攻击者伪造cookie的情况出现。
- 不使用cookie验证，改token方式验证
- 通过referer识别，验证页面是否是信任站点
' or '1'= '1。这是最常见的sql注入攻击，当我们输入用户名 jiajun ，然后密码输入'or '1'= '1的时候，我们在查询用户名和密码是否正确的时候，本来要执行的是select * from user where username='' and password='',经过参数拼接后，会执行sql语句select * from user where username='jaijun' and password=' ' or ' 1'='1 '，这个时候1=1是成立，自然就跳过验证了。- 但是如果再严重一点，密码输入的是
'; drop table user; --，那么sql命令为select * from user where username='jiajun' and password=''; drop table user; --'这个时候我们就直接把这个表给删除了
- 对进入数据库的特殊字符（
'"\尖括号&*; 等）进行转义处理，或编码转换。 - 在应用发布之前建议使用专业的SQL注入检测工具进行检测，以及时修补被发现的SQL注入漏洞。网上有很多这方面的开源工具，例如sqlmap、SQLninja等
- 避免网站打印出SQL错误信息，比如类型错误、字段不匹配等，把代码里的SQL语句暴露出来，以防止攻击者利用这些错误信息进行SQL注入。
- SYN Flood ,简单说一下tcp三次握手，客户端先服务器发出请求，请求建立连接，然后服务器返回一个报文，表明请求以被接受，然后客户端也会返回一个报文，最后建立连接。那么如果有这么一种情况，攻击者伪造ip地址，发出报文给服务器请求连接，这个时候服务器接收到了，根据tcp三次握手的规则，服务器也要回应一个报文，可是这个ip是伪造的，报文回应给谁呢，第二次握手出现错误，第三次自然也就不能顺利进行了，这个时候服务器收不到第三次握手时客户端发出的报文，又再重复第二次握手的操作。如果攻击者伪造了大量的ip地址并发出请求，这个时候服务器将维护一个非常大的半连接等待列表，占用了大量的资源，最后服务器瘫痪
- CC攻击，在应用层http协议上发起攻击，模拟正常用户发送大量请求直到该网站拒绝服务为止。
- DNS query flood 攻击者伪造大量无效域名，发送给目标服务器解析，这些域名均为无效域名，导致DNS服务器耗用大量资源去处理这些无效域名，造成DNS解析域名超时，达到攻击目的。
- 增加带宽，但是带宽非常昂贵
- 异常流量的清洗过滤
- 过滤不必要的服务和端口
- 高防智能DNS解析
- 部署CDN
专注前端开发，分享前端相关技术干货，公众号：南城大前端（ID: nanchengfe）
