网站生成静态页面，及网站数据采集的攻、防原理和策略

网站生成静态页面的攻、防原理与策略

原理

网站生成静态页面是指将动态数据生成静态HTML文件，以提高网站性能和访问速度。攻击者可以通过修改静态页面来实施攻击，从而导致不良后果。静态页面的生成原理是通过模板引擎和数据库等生成，并通过缓存等机制进行优化。

防御策略

• 对于敏感数据需要进行服务器端渲染，如账号密码等。
• 禁止通过get方式将动态页面转换为静态页面，只允许采用post方式，以防止后门带来的伪造。
• 增加防注入攻击等安全性措施，对于非法的数据不予处理，避免出现注入攻击。

示例说明

示例1

比如一个电商网站，用户可以选择商品类别进行购买，通过将用户的选择进行记录进行商品推荐等操作，利用模板引擎生成静态页面，将商品推荐信息也附在静态页面中。攻击者可以将推荐的商品进入到自己的网站中进行推广，从而导致电商网站流量和客户流失。

电商网站可以通过增加服务器端处理逻辑，对商品推荐进行权重控制，避免被攻击者篡改静态页面，同时也可以增加信息采集日志，对于异常情况进行记录和反制。

示例2

一个论坛网站，由于访问频繁，为了提高访问速度，将论坛信息进行静态化操作，同时论坛页面需要进行用户登录后才能进行访问，在生成静态页面中需要将用户的登录信息加入到生成的静态页面中。攻击者会通过竞争者的角度观察论坛页面，利用用户登录信息获取用户数据进行分析，从而达到了恶意目的。

论坛网站可以通过设置缓存时间和方式来限制用户数据的滥用，同时增加防攻击的措施，对于不规范的用户访问行为进行防御，在敏感静态页面中采用加密机制，增加攻击者的难度。

网站数据采集的攻、防原理与策略

原理

网站数据采集是指通过爬虫等机制采集网站中的信息，攻击者可以利用这些信息进行攻击，如敲诈勒索等。网站数据采集可以通过robots协议、防爬虫策略等进行反制。

防御策略

• robots协议用于告诉搜索引擎哪些网页可以抓取，哪些不行。一些有隐私、版权或者安全问题的网页需要设置不被抓取，帮助网站抵御攻击者的目的。
• 对于被攻击的页面，可以设置验证码等措施进行反攻击。
• 避免对敏感数据进行访问，尽量减少攻击者的利用空间。

示例说明

示例1

假如一个企业的网站，由于销售业务存在竞争，企业担心竞争对手通过采集员工信息的方式来威胁员工，甚至敲诈勒索企业。攻击者可以通过网络搜索等方式寻找企业网站中信息，对于员工信息进行采集。从而对企业构成威胁。

企业可以通过设置robots文件，设置访问不被搜索引擎收录，减少攻击者的利用空间。对于存在威胁的企业信息，在进行无需登录可见的数据进行加密等技术措施，以对抗攻击者的窥探。

示例2

一个新闻网站，由于公柜信息的非对称，攻击者可以通过某些方式，主动获取到更多公分享的信息，从而获得威胁、敲诈或者恶意目的。

新闻网站可以通过验证访问用户的真实身份、设置动态加密等方式，提高攻击者突破的难度，同时吸引更多真实用户的使用，减少攻击后果。