网络安全-常见网络安全攻击

标签: 网络安全 常见 网络安全 | 发表时间:2013-12-16 17:15 | 作者:willwen
出处:http://www.iteye.com

主要介绍比较常见的3种网络安全攻击手段,分别是:跨站脚本攻击(XSS)攻击、跨站请求伪造(CSRF)攻击、SQL注入攻击。

1、XSS攻击:应该算是最普遍的应用程序层攻击之一,攻击的目的是盗走客户端 cookies,或者任何可以用于在 Web 站点确定客户身份的其他敏感信息。

用这三种方式可以保护站点不受 XSS 攻击:

1.执行内部的输入过滤(有时候称为输入清洁设备)。对于内部书写的每个脚本中的每个用户输入 —— 参数或 HTTP 头,都应该应用高级的 HTML 标签(包括 JavaScript 代码)过滤。举例来说,应该过滤 <script> 标签。该方法有一些严重的不利因素:
* 要求应用程序的编程人员非常精通安全。

* 要求编程人员覆盖所有可能的输入来源(查询参数、 POST 请求的 body 参数、HTTP 头)。* 它不能抵御第三方脚本或服务器中的安全漏洞。举例来说,它不能防御 Web 服务器错误页面中的问题(通常显示了资源的路径)。

2、执行“输出过滤”,换句话说,当发回给浏览器时过滤用户数据,而不是当被脚本接收时。一个很好的示例是通过一个脚本将输入数据插入到数据库中,然后再从数据库呈现数据。在这种情况下,重要的是不向原始的输入字符串应用过滤,而只向输出版本应用过滤。这种方法的缺陷类似于对输入过滤的缺陷。

3、通过安装第三方应用程序防火墙,防火墙在 XSS 攻击到达 Web 服务器和易受攻击的脚本之前拦截它们,并阻塞它们。不论是来自内部应用程序的脚本或路径、第三方脚本,或根本不描述资源的脚本(举例来说,用来引起来自服务器的 404 页面响应的脚本),应用程序防火墙都可以以一般的方式覆盖所有输入方法(包括路径和 HTTP 头)。对于每个输入源,应用程序防火墙根据各种 HTML 标签模式和 JavaScript 模式检查数据。如果匹配成功,就拒绝该请求,恶意的输入不会到达服务器。

 

2、SQL注入攻击:跟XSS攻击有点类似,以SQL语句作为用户输入,从而达到查询/修改/删除数据的目的。对于SQL注入攻击的详细介绍,可以上网搜索《 SQL注入攻防入门详解》这篇文章,讲得比较详细了。

防止SQL注入攻击:

* 类型检查:对接收数据有明确要求的,在方法内进行类型验证。如数值型

* 长度验证:要进行必要的注入,其语句也是有长度的。所以如果你原本只允许输入10字符,

那么严格控制10个字符长度,一些注入语句就没办法进行。

* 关键字过滤:这个门槛比较高,因为各个数据库存在关键字,内置函数的差异,所以对

编写此函数的功底要求较高

* 参数化查询:在使用参数化查询的情况下,数据库服务器不会将参数的内容视为SQL指令的一部份来处理,而是在数据库完成 SQL 指令的编译后,才套用参数运行,因此就算参数中含有具有损的指令,也不会被数据库所运行

 

3、CSRF攻击

   CSRF攻击是黑客借助受害者的 cookie 骗取服务器的信任,但是黑客并不能拿到 cookie,也看不到cookie的内容(跟XSS攻击的区别)。另外,对于服务器返回的结果,由于浏览器同源策略的限制,黑客也无法进行解析。因此,黑客无法从返回的结果中得到任何东西,他所能做的就是给服务器发送请求,以执行请求中所描述的命令,在服务器端直接改变数据的值,而非窃取服务器中的数据。所以,我们要保护的对象是那些可以直接产生数据改变的服务,而对于读取数据的服务,则不需要进行 CSRF 的保护。

* 验证Http Referer字段

* 在请求地址中添加token并验证



已有 0 人发表留言,猛击->> 这里<<-参与讨论


ITeye推荐



相关 [网络安全 常见 网络安全] 推荐:

网络安全-常见网络安全攻击

- - 互联网 - ITeye博客
主要介绍比较常见的3种网络安全攻击手段,分别是:跨站脚本攻击(XSS)攻击、跨站请求伪造(CSRF)攻击、SQL注入攻击. 1、XSS攻击:应该算是最普遍的应用程序层攻击之一,攻击的目的是盗走客户端 cookies,或者任何可以用于在 Web 站点确定客户身份的其他敏感信息. 用这三种方式可以保护站点不受 XSS 攻击:.

网络安全

- - CSDN博客系统运维推荐文章
1、防止入侵者对主机进行ping探测,可以禁止Linux主机对ICMP包的回应.  iptables 防火墙上禁止ICMP应答.  关闭不必要的端口,时常检查网络端口情况.  nmap  可以扫描端口.  关闭不必要的服务和端口.  为网络服务指定非标准的端口.  开启防火墙,只允许授权用户访问相应的服务端口.

http网络安全

- - CSDN博客推荐文章
每天都会用到http协议,也听说http协议的安全的重要性,却一直很少真的去模拟攻击. 特意通过一篇博客整理下http可能遇到的安全问题,用脚本语言php去模拟和处理. 1 http为什么会存在安全问题. http是没有状态和加密的协议,如果不使用(ssl)https协议,很多信息都是透明的,传输的数据很容易被捕获.

8个网络安全开源框架

- - HTML5资源教程
能帮助构建、操作安全系统的开源项目多到数不清,尤其是随着对工具的安全监控和事件反应的要求不断加强的情况下,开源安全软件不得不提高自己的性能. 下面为你介绍10款开源的安全软件. Bro 是一款很强大的框架,用于网络分析和安全监控,它和常见的IDS有所不同. 与通用的网络传输分析工具相比它侧重于网络安全监控和提供一个完整的平台化工具.

使用 Cilium 增强 Kubernetes 网络安全

- - IT瘾-dev
在本篇,我们分别使用了 Kubernetes 原生的网络策略和 Cilium 的网络策略实现了 Pod 网络层面的隔离. 不同的是,前者只提供了基于 L3/4 的网络策略;后者支持 L3/4、L7 的网络策略. 通过网络策略来提升网络安全,可以极大降低了实现和维护的成本,同时对系统几乎没有影响. 尤其是基于 eBPF 技术的 Cilium,解决了内核扩展性不足的问题,从内核层面为工作负载提供安全可靠、可观测的网络连接.

宣传网络安全,谷歌新广告不走寻常路

- tossking - 爱范儿 · Beats of Bits
2bon2btitq 这串密码也许比你现在用的要强些,况且它还真不难记. 问题是你是否想到了这种创建密码的方式. Google 正在和 Citizens Advice Bureau 广告公司发起一场广告活动:宣传网络安全. 谷歌曾发布过不少优质的广告:实验室里的科学怪人 (Wave);教室里的定格动画(Chrome).

SecTools 2011年的Top125款网络安全工具排行榜

- - 服务器运维与网站架构|Linux运维|X研究
PS:美帝知名网络安全网站SecTools在2011年年底对目前最流行的网络安全工具做了排名,这些工具里有部分也是我本人常用的,有开源的也有商业的. 详细榜单请看:(本人没空翻译了,英文不好的童鞋查查翻译工具.

Nmap 6.40 发布,网络安全审计工具

- - 开源中国社区最新新闻
Nmap 6.40 发布了,包含 14 个新的 NSE 脚本,大量的新操作系统和服务检测的签名,新增 --lua-exec 来执行脚本等等,详情请看 发行说明. 下载地址: http://nmap.org/download.html. nmap是一个网络连接端扫描软件,用来扫描网上电脑开放的网络连接端.

网络安全课堂:“中间人攻击”(MITM)

- - 煎蛋
你拿着刚买的咖啡,连上了咖啡店的WiFi,然后开始工作,这样的动作在之前已经重复了无数遍,一切都和谐无比. 但你不知道的是有人正在监视你,他们监视着你的各种网络活动,盗取你的银行凭证,家庭住址,个人电子邮件和联系人,当你发现的时候,已经晚了. 现在的小偷已经不仅仅是简单的在地铁上偷你的钱包,更高级的是使用网络攻击获取你的各种信息,当你在咖啡馆上网检查你的账户信息的时候,也许黑客就拦截了你电脑和WiFi之间的通信,监视着你的一举一动.

苹果表态:愿意接受中方网络安全审查

- - cnBeta.COM
新京报记者独家获悉,国家互联网信息办公室主任鲁炜在去年12月初赴美国考察时,曾与苹果公司CEO蒂姆·库克会面. 在会面中,库克表示将配合中国对苹果产品进行的网络安全评估. 据 一位参与会谈的国家网信办的负责人表示,双方的会谈重点是苹果产品在中国地区的安全保障. 鲁炜表示,中国已经成为苹果最大的市场之一,中国也愿意对苹果等 科技巨头开放,但前提是 iPhone、 iPad 和 Mac 等产品必须保证用户的信息安全和隐私,同时维护国家安全.