国产xxxx99真实实拍_久久不雅视频_高清韩国a级特黄毛片_嗯老师别我我受不了了小说

資訊專欄INFORMATION COLUMN

web安全

suosuopuo / 2556人閱讀

摘要：被動攻擊攻擊者不直接對服務器發起攻擊，事先設置好雷區，等待雷區被觸發，具有代表性的有跨站腳本攻擊和跨站點請求偽造。因輸出值轉義不完全引起的安全漏洞跨站腳本攻擊攻，跨站腳本攻擊，又稱攻擊。

對web的攻擊可分為兩大類：

主動攻擊
該類攻擊是攻擊者直接對web服務器上的資源進行攻擊，最具代表性的是SQL注入攻擊和OS攻擊及DDOS攻擊。

被動攻擊
攻擊者不直接對服務器發起攻擊，事先設置好雷區，等待雷區被觸發，具有代表性的有跨站腳本攻擊和跨站點請求偽造。

因輸出值轉義不完全引起的安全漏洞 xss 跨站腳本攻擊 攻

Cross SiteScript，跨站腳本攻擊，又稱css攻擊。

其核心思路就是將惡意html代碼注入到目標網站中（如），所以經常發生在動態生成html的場景下。

攻擊成功后可以做的事情有很多，比如將cookie發送出去，URL跳轉等。

只要有用戶輸入的地方，數據存儲時沒有對其進行處理，用到改數據的頁面都有可能受到XSS攻擊（對于script的攻擊方式，數據以直接拍到頁面的方式才會使攻擊生效，ajax請求到數據再通過mvvm框架渲染的方式是不會觸發腳本的執行的。但，XSS攻擊不僅僅局限于script）

XSS的危害

利用虛假表單騙取用戶個人信息

竊取用戶cookie

拿微博舉例，如果某人發了一段包含的微博，且XSS攻擊成功，那么看到該微博的人都會受到攻擊，其cookie被發送至www.aa.com

防

對用戶輸入的<>""""/&等字符進行轉碼

對關鍵cookie進行http-only設置，這樣js就失去了訪問cookie的能力

SQL注入攻擊 攻

在web應用對數據庫的查詢，添加，刪除等操作環節，請求參數參與SQL語句生成，對于調用SQL語句的拼接環節存在疏忽，產生SQL注入攻擊。

危害

非法查看無權限數據

刪除數據

舉例：todo

防

todo

OS命令注入攻擊 攻

web應用可以通過shell調用系統命令，因此如果在調用時存在疏忽，就有可能執行了不被期望的OS命令。

危害 防 http首部注入攻擊 
%0D%0A代表HTTP報文中的換行符。比如在響應頭中的Location：www.a.com/aa?id=999添加為Location：www.a.com/aa?id=999%0D%0ASet-Cookie: xxxx，那么就會多出一個set-cookie響應頭。此外，連續出現兩次%0D%0標志著http頭部與主體的分離，同樣可以利用這個來修改響應主體。
攻

指的是攻擊者通過在響應頭部字段中插入換行，添加任意響應首部的一種攻擊

危害

設置任意cookie（利用Set-Cookie頭）

重定向至任意url（location頭）(如果status為200但是有location會怎么樣)

防

話管理疏忽引起的安全漏洞

會話劫持 攻

通過手段拿到用戶的會話id并以此id偽裝為用戶de攻擊。

危害 防 跨站點請求偽造CSRF（cross-site request Forgery） 攻

指攻擊者通過事先設定好的陷阱，在用戶不知道的情況下發起對某些站點的請求，從而達到修改用戶在目標網站里的數據的攻擊。
如在a.com里有個的標簽，此時用戶訪問a站點時就向b發起了delete請求，假設該接口就是b站點的刪除帳號api，且b用戶恰恰剛訪問了b站點不久，還存有未過期的cookie，那就慘了。

危害

修改用戶在目標站點的數據。

防

cookie的有效期盡量縮短

服務器判斷referer

其他安全漏洞 密碼破解 攻

字典攻擊

事先收集好一組候選密碼一一嘗試

窮舉攻擊

如銀行密碼是四位數字，則窮舉即可。

危害 防 DoS（Denial of Service）攻擊

鏈接描述
一種讓運行中的服務器呈停止中的攻擊
分布式的多臺計算機發起的dos攻擊稱為ddos（distributed Denial of Service）攻擊

攻

在第三次握手環節耍流氓不響應服務器，造成tcp半連接狀態。不停地發送syn握手，就會造成服務器資源大大消耗。
或者tcp全連接，但是每個連接都不釋放，最終達到服務器上限，癱瘓

1．制造大流量無用數據，造成通往被攻擊主機的網絡擁塞，使被攻擊主機無法正常和外界通信。
2．利用被攻擊主機提供服務或傳輸協議上處理重復連接的缺陷，反復高頻的發出攻擊性的重復服務請求，使被攻擊主機無法及時處理其它正常的請求。
3．利用被攻擊主機所提供服務程序或傳輸協議的本身實現缺陷，反復發送畸形的攻擊數據引發系統錯誤的分配大量系統資源，使主機處于掛起狀態甚至死機。

危害

直接使服務器掛掉，影響了公司服務正常運轉

防

提高服務器帶寬，性能等

硬件防火墻專門過濾惡意來源的請求

ng設置黑名單

location / {
  deny 1.2.3.4;
}

上cdn

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/109281.html

相關文章

  • 離大廠近一點《阿里巴巴集團Web安全測試規范》獨家版

    摘要：今天，我們就離大廠更近一點，共同學習阿里這份阿里巴巴集團安全測試規范阿里巴巴集團安全測試規范阿里巴巴集團安全測試規范背景簡介為了規避安全風險規范代碼的安全開發，以及如何系統的進行安全性測試，目前缺少相應的理論和方法支撐。 很多人都知道，在學校學的技術，初創公司的技術，外包公司的技術，自研公司...

    wudengzan 評論0 收藏0

  • #WEB安全基礎 : HTML/CSS | 文章索引

    摘要：黑體本系列講解安全所需要的和黑體安全基礎我的第一個網頁黑體安全基礎初識黑體安全基礎初識標簽黑體安全基礎文件夾管理網站黑體安全基礎模塊化黑體安全基礎嵌套列表黑體安全基礎標簽拓展和屬性的使用黑體安全基礎嵌套本系列講解WEB安全所需要的HTML和CSS #WEB安全基礎 : HTML/CSS | 0x0 我的第一個網頁 #WEB安全基礎 : HTML/CSS | 0x1初識CSS #WEB安全基...

    EscapedDog 評論0 收藏0

  • UCloud 開啟負載均衡+WAF一鍵聯動，云原生能力賦能Web防護創新模式

    摘要：為使用七層負載均衡的用戶，提供安全高效的應用防護能力。基于負載均衡集群的運維能力，可快速進行擴容容災遷移的部署。伴隨著互聯網+時代的到來，Web系統作為企業IT業務的基本負載平臺，承載著各種不同種類的信息業務。但近年來針對Web應用的攻擊事件頻發，也讓Web應用的安全防御面臨著諸多挑戰。國家互聯網應急中心報告就曾顯示，僅2020上半年國家信息安全漏洞共享平臺（CNVD）收錄通用型安全漏洞11...

    Tecode 評論0 收藏0

  • 信息安全入門指南

    摘要：以下所列出的鏈接均為在線文檔，有志于信息安全的愛好者可由此作為入門指南。 以下所列出的鏈接均為在線文檔，有志于信息安全的愛好者可由此作為入門指南。 常規知識 Sun認證-Solaris 9&10安全管理員學習指南 PicoCTF資料 應用軟件安全 OWASP安全編碼規范 漏洞挖掘 Windows ISV軟件安全防御 移動安全 OWASP十大移動手機安全風險 網...

    jay_tian 評論0 收藏0

  • clojure的web安全比你想象的還要差

    摘要：的安全比你想象的還要差大會結束了，發表了題為的演說。宣稱，根據可供選擇的類庫來倒騰你自己的棧，這種思想方法導致了系統級的安全問題。對于而言，安全的會話管理只有非常少量的被證明過的最佳實踐。安全頭在應用程序，沒有集中的類庫來居中管理安全頭。 Clojure的web安全比你想象的還要差 ClojureWest大會結束了，Aaron Bedra發表了題為 Clojure.web/with-...

    opengps 評論0 收藏0

發表評論

0條評論

suosuopuo

男|高級講師

TA的文章

閱讀更多
最新活動
閱讀需要支付1元查看
<