WEB应用脆弱性防止策略 常见的16种WEB攻击以及解决方案

WEB应用脆弱性防止策略: 常见的16种WEB攻击以及解决方案

1. SQL注入攻击

SQL注入攻击：利用特殊的字符与代码注入技术，在后台窃取数据和控制后台操作。防范措施：使用参数化查询，避免直接拼接SQL语句；过滤掉用户的输入特殊字符，如单引号；使用ORM框架。

示例：在登录页面中，输入如下语句，可以绕过登录验证，进入后台管理界面

' or '1'='1 

2. XSS攻击

XSS攻击：利用代码注入技术，在页面中植入恶意代码，窃取用户信息，或攻击其他用户浏览器。防范措施：对用户的输入进行过滤和转义；设置HTTP的Content-Security-Policy；禁止使用 eval 和 innerHTML 等不安全的API。

示例：在评论框中输入Javascript脚本，当其他用户浏览时，此脚本会在浏览器中执行

<script>alert('攻击成功');</script>

3. CSRF攻击

CSRF攻击：利用被攻击者的认证信息，以其名义造成某些操作。防范措施：使用Token验证；验证请求来源；设置Referer白名单。

示例：攻击者在自己的网站上，加入一个恶意链接，如下所示

<img src="http://example.com/transfer?account=123&amount=10000">

当受害者点击链接时，由于受害者的认证信息已经在浏览器中，此时就可以进行转账操作。

4. 文件上传攻击

文件上传攻击：利用网站的文件上传功能，上传恶意文件进行攻击。防范措施：限制上传文件类型；对上传文件进行杀毒扫描或解压缩；对上传文件进行隔离，不直接访问。

示例：攻击者在上传图片时，上传一段可执行代码，并修改文件扩展名为.jpg

<?php echo system($_GET['cmd']);?>

当管理员访问此上传的图片时，攻击者就可以执行任意系统命令。

5. 文件包含攻击

文件包含攻击：利用PHP中的 include 或 require 语句，读取恶意代码，进行攻击。防范措施：尽量避免使用用户输入的路径地址；不要使用可变的 include 路径。

示例：在url中加入下面的代码，可以包含恶意脚本，并执行代码

http://example.com/index.php?page=../../../etc/passwd%00

6. XPath 注入攻击

XPath 注入攻击：通过构造恶意查询，窃取敏感信息或篡改后台数据。防范措施：使用参数化查询，避免直接拼接XPath语句；过滤掉用户的输入特殊字符；使用ORM框架。

示例：在搜索框中输入如下语句，可以绕过搜索功能，获取所有用户信息

' or 1=1 or ''=

7. HTTP参数污染攻击

HTTP参数污染攻击：通过精心构造的 HTTP 参数串，绕过正常的输入验证，发起攻击。防范措施：不信任任何传入参数；对传入参数进行类型验证和范围检查；使用 HTTPS 协议。

示例：攻击者通过构造HTTP参数，把ID参数从1改成了2，绕过了权限验证机制。

http://example.com/index.php?id=2&id=1

8. 邮件欺骗攻击

邮件欺骗攻击：通过伪造邮件头部信息，误导用户打开恶意链接或附件。防范措施：设置SPF记录，检查发件人是否为真实的邮件服务器；使用DMARC协议，防止邮件欺骗。

示例：攻击者伪造了邮件，欺骗用户打开嵌入式的恶意链接，导致用户的电脑被感染。

9. HTTP响应截断攻击

HTTP响应截断攻击：通过精心构造的 HTTP 响应头，截断HTTP响应，窃取相关信息和控制系统。防范措施：在HTTP响应头中不使用换行符、回车符等特殊字符；对HTTP响应头的长度进行限制。

示例：攻击者构造了一个HTTP响应头，截断了正常响应，随后就可以窃取系统中的数据。

Location: http://www.attacker.com<?php header("Set-Cookie:");?>
Content-Length: 32

10. 单点登录（SSO）攻击

单点登录（SSO）攻击：通过劫持用户的登录信息，实现跨域攻击。防范措施：对重要操作需要重新验证用户身份；使用口令加密技术；设置登录时效性；使用HTTPS协议。

示例：攻击者在受害者登录SSO系统时，获取受害者的认证信息，并伪造认证信息登录其他系统。

11. HTTP重放攻击

HTTP重放攻击：攻击者通过捕获先前的 HTTP 请求，然后对其进行重复或者稍加修改并将其重新发送来对目标进行攻击。防范措施：通过时间戳、Token等方式防止重放攻击；使用 HTTPS 协议。

示例：攻击者在目标用户尚未退出的情况下，伪造用户请求发送到服务器，取得未加密的用户类数据，或攻击目标服务器。

12. JSON注入攻击

JSON注入攻击：在对 JSON 格式数据的处理中，同样存在类似 SQL 注入攻击的漏洞。防范措施：使用 JSON.dumps 函数编码过滤数据；对 JSON 解码结果进行类型验证；使用 ORM 框架。

示例：攻击者使用带有恶意脚本的字符串，获得经过JSON编码后的数据。

13. DNS欺骗攻击

在 Internet 上，DNS（Domain Name System）是一种将域名转换为 IP 地址的系统。DNS欺骗攻击者利用一些漏洞，对 DNS 服务器进行攻击，指引用户到一个恶意的 IP 地址。防范措施：使用更加安全的 DNS，如DNSSEC；对 DNS 查询结果进行验证；确保 DNS 服务器在全网中获取可靠的 DNS 解析结果。

示例：攻击者在DNS服务器中，将目标网站的IP地址指向一个恶意IP地址，使得用户访问目标网站时，被导向恶意网站。

14. ARP欺骗攻击

ARP欺骗攻击：ARP是一个协议用于从IP地址获取MAC地址。ARP欺骗攻击者伪装成交换机或路由器，走私信息。防范措施：使用静态ARP绑定防止ARP欺骗；使用交换机租约；禁止交换机上的攻击IP。

示例：攻击者在目标网络中，发起ARP欺骗攻击，将目标IP地址与自己的MAC地址绑定，使得所有的数据包都被伪装成攻击者的响应数据。

15. DOS攻击

DOS攻击：利用各种技术手段，使得目标服务的正常运行被中断。防范措施：使用负载均衡；限制请求的频率；使用CDN进行防护。

示例：攻击者向目标服务器发送大量无效的数据包，导致目标服务器无法处理正常的请求。

16. DDoS攻击

DDoS攻击：大规模的DOS攻击，使用多个计算机同时发起攻击。防范措施：使用专业的DDoS攻击防护服务；限制请求的频率；使用CDN进行防护。

示例：攻击者通过植入恶意程序，将目标机器加入到自己的攻击网络中，进行大规模的DDoS攻击。