国产xxxx99真实实拍_久久不雅视频_高清韩国a级特黄毛片_嗯老师别我我受不了了小说

資訊專欄INFORMATION COLUMN

web安全

suosuopuo / 2562人閱讀

摘要：被動(dòng)攻擊攻擊者不直接對(duì)服務(wù)器發(fā)起攻擊，事先設(shè)置好雷區(qū)，等待雷區(qū)被觸發(fā)，具有代表性的有跨站腳本攻擊和跨站點(diǎn)請(qǐng)求偽造。因輸出值轉(zhuǎn)義不完全引起的安全漏洞跨站腳本攻擊攻，跨站腳本攻擊，又稱攻擊。

對(duì)web的攻擊可分為兩大類：

主動(dòng)攻擊
該類攻擊是攻擊者直接對(duì)web服務(wù)器上的資源進(jìn)行攻擊，最具代表性的是SQL注入攻擊和OS攻擊及DDOS攻擊。

被動(dòng)攻擊
攻擊者不直接對(duì)服務(wù)器發(fā)起攻擊，事先設(shè)置好雷區(qū)，等待雷區(qū)被觸發(fā)，具有代表性的有跨站腳本攻擊和跨站點(diǎn)請(qǐng)求偽造。

因輸出值轉(zhuǎn)義不完全引起的安全漏洞 xss 跨站腳本攻擊 攻

Cross SiteScript，跨站腳本攻擊，又稱css攻擊。

其核心思路就是將惡意html代碼注入到目標(biāo)網(wǎng)站中（如），所以經(jīng)常發(fā)生在動(dòng)態(tài)生成html的場(chǎng)景下。

攻擊成功后可以做的事情有很多，比如將cookie發(fā)送出去，URL跳轉(zhuǎn)等。

只要有用戶輸入的地方，數(shù)據(jù)存儲(chǔ)時(shí)沒有對(duì)其進(jìn)行處理，用到改數(shù)據(jù)的頁面都有可能受到XSS攻擊（對(duì)于script的攻擊方式，數(shù)據(jù)以直接拍到頁面的方式才會(huì)使攻擊生效，ajax請(qǐng)求到數(shù)據(jù)再通過mvvm框架渲染的方式是不會(huì)觸發(fā)腳本的執(zhí)行的。但，XSS攻擊不僅僅局限于script）

XSS的危害

利用虛假表單騙取用戶個(gè)人信息

竊取用戶cookie

拿微博舉例，如果某人發(fā)了一段包含的微博，且XSS攻擊成功，那么看到該微博的人都會(huì)受到攻擊，其cookie被發(fā)送至www.aa.com

防

對(duì)用戶輸入的<>""""/&等字符進(jìn)行轉(zhuǎn)碼

對(duì)關(guān)鍵cookie進(jìn)行http-only設(shè)置，這樣js就失去了訪問cookie的能力

SQL注入攻擊 攻

在web應(yīng)用對(duì)數(shù)據(jù)庫的查詢，添加，刪除等操作環(huán)節(jié)，請(qǐng)求參數(shù)參與SQL語句生成，對(duì)于調(diào)用SQL語句的拼接環(huán)節(jié)存在疏忽，產(chǎn)生SQL注入攻擊。

危害

非法查看無權(quán)限數(shù)據(jù)

刪除數(shù)據(jù)

舉例：todo

防

todo

OS命令注入攻擊 攻

web應(yīng)用可以通過shell調(diào)用系統(tǒng)命令，因此如果在調(diào)用時(shí)存在疏忽，就有可能執(zhí)行了不被期望的OS命令。

危害 防 http首部注入攻擊 
%0D%0A代表HTTP報(bào)文中的換行符。比如在響應(yīng)頭中的Location：www.a.com/aa?id=999添加為Location：www.a.com/aa?id=999%0D%0ASet-Cookie: xxxx，那么就會(huì)多出一個(gè)set-cookie響應(yīng)頭。此外，連續(xù)出現(xiàn)兩次%0D%0標(biāo)志著http頭部與主體的分離，同樣可以利用這個(gè)來修改響應(yīng)主體。
攻

指的是攻擊者通過在響應(yīng)頭部字段中插入換行，添加任意響應(yīng)首部的一種攻擊

危害

設(shè)置任意cookie（利用Set-Cookie頭）

重定向至任意url（location頭）(如果status為200但是有l(wèi)ocation會(huì)怎么樣)

防

話管理疏忽引起的安全漏洞

會(huì)話劫持 攻

通過手段拿到用戶的會(huì)話id并以此id偽裝為用戶de攻擊。

危害 防 跨站點(diǎn)請(qǐng)求偽造CSRF（cross-site request Forgery） 攻

指攻擊者通過事先設(shè)定好的陷阱，在用戶不知道的情況下發(fā)起對(duì)某些站點(diǎn)的請(qǐng)求，從而達(dá)到修改用戶在目標(biāo)網(wǎng)站里的數(shù)據(jù)的攻擊。
如在a.com里有個(gè)的標(biāo)簽，此時(shí)用戶訪問a站點(diǎn)時(shí)就向b發(fā)起了delete請(qǐng)求，假設(shè)該接口就是b站點(diǎn)的刪除帳號(hào)api，且b用戶恰恰剛訪問了b站點(diǎn)不久，還存有未過期的cookie，那就慘了。

危害

修改用戶在目標(biāo)站點(diǎn)的數(shù)據(jù)。

防

cookie的有效期盡量縮短

服務(wù)器判斷referer

其他安全漏洞 密碼破解 攻

字典攻擊

事先收集好一組候選密碼一一嘗試

窮舉攻擊

如銀行密碼是四位數(shù)字，則窮舉即可。

危害 防 DoS（Denial of Service）攻擊

鏈接描述
一種讓運(yùn)行中的服務(wù)器呈停止中的攻擊
分布式的多臺(tái)計(jì)算機(jī)發(fā)起的dos攻擊稱為ddos（distributed Denial of Service）攻擊

攻

在第三次握手環(huán)節(jié)耍流氓不響應(yīng)服務(wù)器，造成tcp半連接狀態(tài)。不停地發(fā)送syn握手，就會(huì)造成服務(wù)器資源大大消耗。
或者tcp全連接，但是每個(gè)連接都不釋放，最終達(dá)到服務(wù)器上限，癱瘓

1．制造大流量無用數(shù)據(jù)，造成通往被攻擊主機(jī)的網(wǎng)絡(luò)擁塞，使被攻擊主機(jī)無法正常和外界通信。
2．利用被攻擊主機(jī)提供服務(wù)或傳輸協(xié)議上處理重復(fù)連接的缺陷，反復(fù)高頻的發(fā)出攻擊性的重復(fù)服務(wù)請(qǐng)求，使被攻擊主機(jī)無法及時(shí)處理其它正常的請(qǐng)求。
3．利用被攻擊主機(jī)所提供服務(wù)程序或傳輸協(xié)議的本身實(shí)現(xiàn)缺陷，反復(fù)發(fā)送畸形的攻擊數(shù)據(jù)引發(fā)系統(tǒng)錯(cuò)誤的分配大量系統(tǒng)資源，使主機(jī)處于掛起狀態(tài)甚至死機(jī)。

危害

直接使服務(wù)器掛掉，影響了公司服務(wù)正常運(yùn)轉(zhuǎn)

防

提高服務(wù)器帶寬，性能等

硬件防火墻專門過濾惡意來源的請(qǐng)求

ng設(shè)置黑名單

location / {
  deny 1.2.3.4;
}

上cdn

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://m.specialneedsforspecialkids.com/yun/109281.html

相關(guān)文章

  • 離大廠近一點(diǎn)《阿里巴巴集團(tuán)Web安全測(cè)試規(guī)范》獨(dú)家版

    摘要：今天，我們就離大廠更近一點(diǎn)，共同學(xué)習(xí)阿里這份阿里巴巴集團(tuán)安全測(cè)試規(guī)范阿里巴巴集團(tuán)安全測(cè)試規(guī)范阿里巴巴集團(tuán)安全測(cè)試規(guī)范背景簡(jiǎn)介為了規(guī)避安全風(fēng)險(xiǎn)規(guī)范代碼的安全開發(fā)，以及如何系統(tǒng)的進(jìn)行安全性測(cè)試，目前缺少相應(yīng)的理論和方法支撐。 很多人都知道，在學(xué)校學(xué)的技術(shù)，初創(chuàng)公司的技術(shù)，外包公司的技術(shù)，自研公司...

    wudengzan 評(píng)論0 收藏0

  • #WEB安全基礎(chǔ) : HTML/CSS | 文章索引

    摘要：黑體本系列講解安全所需要的和黑體安全基礎(chǔ)我的第一個(gè)網(wǎng)頁黑體安全基礎(chǔ)初識(shí)黑體安全基礎(chǔ)初識(shí)標(biāo)簽黑體安全基礎(chǔ)文件夾管理網(wǎng)站黑體安全基礎(chǔ)模塊化黑體安全基礎(chǔ)嵌套列表黑體安全基礎(chǔ)標(biāo)簽拓展和屬性的使用黑體安全基礎(chǔ)嵌套本系列講解WEB安全所需要的HTML和CSS #WEB安全基礎(chǔ) : HTML/CSS | 0x0 我的第一個(gè)網(wǎng)頁 #WEB安全基礎(chǔ) : HTML/CSS | 0x1初識(shí)CSS #WEB安全基...

    EscapedDog 評(píng)論0 收藏0

  • UCloud 開啟負(fù)載均衡+WAF一鍵聯(lián)動(dòng)，云原生能力賦能Web防護(hù)創(chuàng)新模式

    摘要：為使用七層負(fù)載均衡的用戶，提供安全高效的應(yīng)用防護(hù)能力。基于負(fù)載均衡集群的運(yùn)維能力，可快速進(jìn)行擴(kuò)容容災(zāi)遷移的部署。伴隨著互聯(lián)網(wǎng)+時(shí)代的到來，Web系統(tǒng)作為企業(yè)IT業(yè)務(wù)的基本負(fù)載平臺(tái)，承載著各種不同種類的信息業(yè)務(wù)。但近年來針對(duì)Web應(yīng)用的攻擊事件頻發(fā)，也讓W(xué)eb應(yīng)用的安全防御面臨著諸多挑戰(zhàn)。國(guó)家互聯(lián)網(wǎng)應(yīng)急中心報(bào)告就曾顯示，僅2020上半年國(guó)家信息安全漏洞共享平臺(tái)（CNVD）收錄通用型安全漏洞11...

    Tecode 評(píng)論0 收藏0

  • 信息安全入門指南

    摘要：以下所列出的鏈接均為在線文檔，有志于信息安全的愛好者可由此作為入門指南。 以下所列出的鏈接均為在線文檔，有志于信息安全的愛好者可由此作為入門指南。 常規(guī)知識(shí) Sun認(rèn)證-Solaris 9&10安全管理員學(xué)習(xí)指南 PicoCTF資料 應(yīng)用軟件安全 OWASP安全編碼規(guī)范 漏洞挖掘 Windows ISV軟件安全防御 移動(dòng)安全 OWASP十大移動(dòng)手機(jī)安全風(fēng)險(xiǎn) 網(wǎng)...

    jay_tian 評(píng)論0 收藏0

  • clojure的web安全比你想象的還要差

    摘要：的安全比你想象的還要差大會(huì)結(jié)束了，發(fā)表了題為的演說。宣稱，根據(jù)可供選擇的類庫來倒騰你自己的棧，這種思想方法導(dǎo)致了系統(tǒng)級(jí)的安全問題。對(duì)于而言，安全的會(huì)話管理只有非常少量的被證明過的最佳實(shí)踐。安全頭在應(yīng)用程序，沒有集中的類庫來居中管理安全頭。 Clojure的web安全比你想象的還要差 ClojureWest大會(huì)結(jié)束了，Aaron Bedra發(fā)表了題為 Clojure.web/with-...

    opengps 評(píng)論0 收藏0

發(fā)表評(píng)論

0條評(píng)論

最新活動(dòng)
閱讀需要支付1元查看
<