码迷,mamicode.com
首页 > Web开发 > 详细

常见web攻击以及防御

时间:2016-05-13 18:51:18      阅读:135      评论:0      收藏:0      [点我收藏+]

标签:

xss攻击:

跨站脚本攻击,攻击者在网页中嵌入恶意代码,当用户打开网页,脚本程序便开始在客户端的浏览器上执行,以盗取客户端cookie,用户名密码,下载执行病毒木马程序,甚至是获取客户端admin权限等。

原理就是用户输入的时候,输入一些可执行代码,例如<input name="username" value="<script>alert(‘haha‘)</script>" />

xss之所以会发生,是因为用户输入的数据变成了代码。因此我们需要对用户的输入的数据进行html转义处理,将其中的括号,引号之类的特殊字符进行转义编码。

 

crsf攻击,跨站请求伪造,攻击者盗用了你的身份,以你的名义向第三方网站发送恶意请求,crsf能做的事情包括利用你的身份发邮件,发短信,进行交易转账等,甚至盗取你的账号。

攻击值做2件事情,即可完成csrf攻击:

1,登陆受信任站点A,并在本地生产cookie;

2,在不登出站点A(清除站点A的cookie)的情况下,访问恶意站点B。这时恶意站点B的某个页面向站点A发送请求,而这个请求会带上浏览器所保存的站点A的cookie,站点A根据请求所带的cookie,识别为某用户合法行为。

csrf防御手段:

1,将cookie设置为httponly

2,表单提交增加隐藏token提交

3,通过http referer来识别请求来源

 

sql注入攻击,就是通过把sql命令伪装成正常的http请求参数,传递到服务端,欺骗服务器最终执行恶意的sql命令,达到入侵目的,目前涉及的大批量数据泄露的攻击事件,大部分都是通过sql注入来实施的。

防御手段:

1,使用预编译语句

2,使用orm模型

3,避免密码明文存放

3,处理好相关异常,避免错误暴露过多信息

 

文件上传漏洞

防御手段:验证上传文件类型

 

常见web攻击以及防御

标签:

原文地址:http://www.cnblogs.com/huanxiyun/p/5490166.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!