福州网站建设报价建设银行投资网站首页

福州网站建设报价,建设银行投资网站首页,宿迁网站建设公司排名,万维网的网站一文搞懂Web常见的攻击方式 一、是什么 Web攻击#xff08;WebAttack#xff09;是针对用户上网行为或网站服务器等设备进行攻击的行为 如植入恶意代码#xff0c;修改网站权限#xff0c;获取网站用户隐私信息等等 Web应用程序的安全性是任何基于Web业务的重要组成部分…一文搞懂Web常见的攻击方式一、是什么Web攻击WebAttack是针对用户上网行为或网站服务器等设备进行攻击的行为如植入恶意代码修改网站权限获取网站用户隐私信息等等Web应用程序的安全性是任何基于Web业务的重要组成部分确保Web应用程序安全十分重要即使是代码中很小的 bug 也有可能导致隐私信息被泄露站点安全就是为保护站点不受未授权的访问、使用、修改和破坏而采取的行为或实践我们常见的Web攻击方式有XSS (Cross Site Scripting) 跨站脚本攻击CSRFCross-site request forgery跨站请求伪造SQL注入攻击二、XSSXSS跨站脚本攻击允许攻击者将恶意代码植入到提供给其它用户使用的页面中XSS涉及到三方即攻击者、客户端与Web应用XSS的攻击目标是为了盗取存储在客户端的cookie或者其他网站用于识别客户端身份的敏感信息。一旦获取到合法用户的信息后攻击者甚至可以假冒合法用户与网站进行交互举个例子一个搜索页面根据url参数决定关键词的内容input typetext value% getParameter(keyword) % button搜索/button div 您搜索的关键词是% getParameter(keyword) % /div这里看似并没有问题但是如果不按套路出牌呢用户输入scriptalert(XSS);/script拼接到 HTML 中返回给浏览器。形成了如下的 HTMLinput typetext valuescriptalert(XSS);/script button搜索/button div 您搜索的关键词是scriptalert(XSS);/script /div浏览器无法分辨出scriptalert(XSS);/script是恶意代码因而将其执行试想一下如果是获取cookie发送对黑客服务器呢根据攻击的来源XSS攻击可以分成存储型反射型DOM 型存储型存储型 XSS 的攻击步骤攻击者将恶意代码提交到目标网站的数据库中用户打开目标网站时网站服务端将恶意代码从数据库取出拼接在 HTML 中返回给浏览器用户浏览器接收到响应后解析执行混在其中的恶意代码也被执行恶意代码窃取用户数据并发送到攻击者的网站或者冒充用户的行为调用目标网站接口执行攻击者指定的操作这种攻击常见于带有用户保存数据的网站功能如论坛发帖、商品评论、用户私信等反射型 XSS反射型 XSS 的攻击步骤攻击者构造出特殊的 URL其中包含恶意代码用户打开带有恶意代码的 URL 时网站服务端将恶意代码从 URL 中取出拼接在 HTML 中返回给浏览器用户浏览器接收到响应后解析执行混在其中的恶意代码也被执行恶意代码窃取用户数据并发送到攻击者的网站或者冒充用户的行为调用目标网站接口执行攻击者指定的操作反射型 XSS 跟存储型 XSS 的区别是存储型 XSS 的恶意代码存在数据库里反射型 XSS 的恶意代码存在 URL 里。反射型 XSS 漏洞常见于通过 URL 传递参数的功能如网站搜索、跳转等。由于需要用户主动打开恶意的 URL 才能生效攻击者往往会结合多种手段诱导用户点击。POST 的内容也可以触发反射型 XSS只不过其触发条件比较苛刻需要构造表单提交页面并引导用户点击所以非常少见DOM 型 XSSDOM 型 XSS 的攻击步骤攻击者构造出特殊的 URL其中包含恶意代码用户打开带有恶意代码的 URL用户浏览器接收到响应后解析执行前端 JavaScript 取出 URL 中的恶意代码并执行恶意代码窃取用户数据并发送到攻击者的网站或者冒充用户的行为调用目标网站接口执行攻击者指定的操作DOM 型 XSS 跟前两种 XSS 的区别DOM 型 XSS 攻击中取出和执行恶意代码由浏览器端完成属于前端 JavaScript 自身的安全漏洞而其他两种 XSS 都属于服务端的安全漏洞XSS的预防通过前面介绍看到XSS攻击的两大要素攻击者提交而恶意代码浏览器执行恶意代码针对第一个要素我们在用户输入的过程中过滤掉用户输入的恶劣代码然后提交给后端但是如果攻击者绕开前端请求直接构造请求就不能预防了而如果在后端写入数据库前对输入进行过滤然后把内容给前端但是这个内容在不同地方就会有不同显示例如一个正常的用户输入了5 7这个内容在写入数据库前被转义变成了5 7在客户端中一旦经过了escapeHTML()客户端显示的内容就变成了乱码(5 7)在前端中不同的位置所需的编码也不同。当5 7作为 HTML 拼接页面时可以正常显示div titlecomment5 lt; 7/div当5 7通过 Ajax 返回然后赋值给 JavaScript 的变量时前端得到的字符串就是转义后的字符。这个内容不能直接用于 Vue 等模板的展示也不能直接用于内容长度计算。不能用于标题、alert 等可以看到过滤并非可靠的下面就要通过防止浏览器执行恶意代码在使用.innerHTML、.outerHTML、document.write()时要特别小心不要把不可信的数据作为 HTML 插到页面上而应尽量使用.textContent、.setAttribute()等如果用Vue/React技术栈并且不使用v-html/dangerouslySetInnerHTML功能就在前端render阶段避免innerHTML、outerHTML的 XSS 隐患DOM 中的内联事件监听器如location、onclick、onerror、onload、onmouseover等a标签的href属性JavaScript 的eval()、setTimeout()、setInterval()等都能把字符串作为代码运行。如果不可信的数据拼接到字符串中传递给这些 API很容易产生安全隐患请务必避免!-- 链接内包含恶意代码 -- a hrefUNTRUSTED1/a script // setTimeout()/setInterval() 中调用恶意代码 setTimeout(UNTRUSTED) setInterval(UNTRUSTED) // location 调用恶意代码 location.href UNTRUSTED // eval() 中调用恶意代码 eval(UNTRUSTED)三、CSRFCSRFCross-site request forgery跨站请求伪造攻击者诱导受害者进入第三方网站在第三方网站中向被攻击网站发送跨站请求利用受害者在被攻击网站已经获取的注册凭证绕过后台的用户验证达到冒充用户对被攻击的网站执行某项操作的目一个典型的CSRF攻击有着如下的流程受害者登录a.com并保留了登录凭证Cookie攻击者引诱受害者访问了b.comb.com 向 a.com 发送了一个请求a.com/actxx。浏览器会默认携带a.com的Cookiea.com接收到请求后对请求进行验证并确认是受害者的凭证误以为是受害者自己发送的请求a.com以受害者的名义执行了actxx攻击完成攻击者在受害者不知情的情况下冒充受害者让a.com执行了自己定义的操作csrf可以通过get请求即通过访问img的页面后浏览器自动访问目标地址发送请求同样也可以设置一个自动提交的表单发送post请求如下form actionhttp://bank.example/withdraw methodPOST input typehidden nameaccount valuexiaoming / input typehidden nameamount value10000 / input typehidden namefor valuehacker / /form script document.forms[0].submit(); /script访问该页面后表单会自动提交相当于模拟用户完成了一次POST操作还有一种为使用a标签的需要用户点击链接才会触发访问该页面后表单会自动提交相当于模拟用户完成了一次POST操作a hrefhttp://test.com/csrf/withdraw.php?amount1000forhacker taget_blank 重磅消息 a/CSRF的特点攻击一般发起在第三方网站而不是被攻击的网站。被攻击的网站无法防止攻击发生攻击利用受害者在被攻击网站的登录凭证冒充受害者提交操作而不是直接窃取数据整个过程攻击者并不能获取到受害者的登录凭证仅仅是“冒用”跨站请求可以用各种方式图片URL、超链接、CORS、Form提交等等。部分请求方式可以直接嵌入在第三方论坛、文章中难以进行追踪CSRF的预防CSRF通常从第三方网站发起被攻击的网站无法防止攻击发生只能通过增强自己网站针对CSRF的防护能力来提升安全性防止csrf常用方案如下阻止不明外域的访问同源检测Samesite Cookie提交时要求附加本域才能获取的信息CSRF Token双重Cookie验证这里主要讲讲token这种形式流程如下用户打开页面的时候服务器需要给这个用户生成一个Token对于GET请求Token将附在请求地址之后。对于 POST 请求来说要在 form 的最后加上input type”hidden” name”csrftoken” value”tokenvalue”/当用户从客户端得到了Token再次提交给服务器的时候服务器需要判断Token的有效性四、SQL注入Sql 注入攻击是通过将恶意的Sql查询或添加语句插入到应用的输入参数中再在后台Sql服务器上解析执行进行的攻击流程如下所示找出SQL漏洞的注入点判断数据库的类型以及版本猜解用户名和密码利用工具查找Web后台管理入口入侵和破坏预防方式如下严格检查输入变量的类型和格式过滤和转义特殊字符对访问数据库的Web应用程序采用Web应用防火墙上述只是列举了常见的web攻击方式实际开发过程中还会遇到很多安全问题对于这些问题 切记不可忽视学习资源如果你是也准备转行学习网络安全黑客或者正在学习这里开源一份360智榜样学习中心独家出品《网络攻防知识库》,希望能够帮助到你知识库由360智榜样学习中心独家打造出品旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力熟练掌握基础攻防到深度对抗。1、知识库价值深度 本知识库超越常规工具手册深入剖析攻击技术的底层原理与高级防御策略并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等提供了独到的技术视角和实战验证过的对抗方案。广度 面向企业安全建设的核心场景渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点是应对复杂攻防挑战的实用指南。实战性 知识库内容源于真实攻防对抗和大型演练实践通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。2、 部分核心内容展示360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式既夯实基础技能更深入高阶对抗技术。360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式既夯实基础技能更深入高阶对抗技术。内容组织紧密结合攻防场景辅以大量真实环境复现案例、自动化工具脚本及配置解析。通过策略讲解、原理剖析、实战演示相结合是你学习过程中好帮手。1、网络安全意识2、Linux操作系统3、WEB架构基础与HTTP协议4、Web渗透测试5、渗透测试案例分享6、渗透测试实战技巧7、攻防对战实战8、CTF之MISC实战讲解3、适合学习的人群‌一、基础适配人群‌‌零基础转型者‌适合计算机零基础但愿意系统学习的人群资料覆盖从网络协议、操作系统到渗透测试的完整知识链‌‌开发/运维人员‌具备编程或运维基础者可通过资料快速掌握安全防护与漏洞修复技能实现职业方向拓展‌或者转行就业‌应届毕业生‌计算机相关专业学生可通过资料构建完整的网络安全知识体系缩短企业用人适应期‌‌二、能力提升适配‌1、‌技术爱好者‌适合对攻防技术有强烈兴趣希望掌握漏洞挖掘、渗透测试等实战技能的学习者‌2、安全从业者‌帮助初级安全工程师系统化提升Web安全、逆向工程等专项能力‌3、‌合规需求者‌包含等保规范、安全策略制定等内容适合需要应对合规审计的企业人员‌因篇幅有限仅展示部分资料完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以在下方CSDN官方认证二维码免费领取【保证100%免费】