【原创】常见的网站攻击方法与防护

1. 使用Web服务器的漏洞进行攻击. 例如CGI缓冲区溢出，目录遍历漏洞和其他攻击；

2. 利用网页自身的安全漏洞进行攻击. 例如SQL注入，跨站点脚本攻击[XSS]等.

1. 缓冲区溢出-攻击者使用超出缓冲区大小的请求和构造的二进制代码来使服务器执行溢出堆栈中的恶意指令. 另请参阅: “缓冲区溢出攻击”

防御: 1）使缓冲区无法通过操作系统执行，从而防止攻击者植入攻击代码； 2）强制编写正确代码的方法； 3）使用编译器的边界检查来保护缓冲区. 这种方法使缓冲区溢出成为不可能，从而完全消除了缓冲区溢出的威胁，但是它相对昂贵. 4）间接方法，此方法在程序指针失败之前执行完整性检查. 尽管此方法不能使所有缓冲区溢出失效，但可以防止大多数缓冲区溢出攻击

2. 分布式拒绝服务攻击[DDOS]-构造大量非法请求，以防止Web服务器响应正常的用户访问. 请参阅: “ DDOS攻击”

防御: 1）使用高性能网络设备（高质量，在关键时刻不会掉线）； 2）尽量避免使用NAT（此技术会大大降低网络通讯能力，如果必须使用它，则无路可走）； 3）足够的网络宽带保证（就像您的商店一样，如果门足够大，您可以在短时间内承受大量请求）； 4）升级主机服务器硬件（例如CPU，内存，硬盘，网卡等）； 5）使网站成为静态页面（大量事实证明，静态页面不仅可以极大地提高抵抗攻击的能力，而且还可以减少对黑客的入侵，因为HTML很少溢出）； 6）最好致电脚本，拒绝使用代理，因为经验表明，使用代理访问您的网站的80％是恶意的.

3. 跨站点脚本攻击[XSS]-提交非法脚本，其他用户在浏览时（使用用户对指定网站的信任）会窃取用户帐户等信息.

防御: 1）特殊字符过滤或HTML实体转码（常用的特殊字符，例如: 单引号'，双引号“”，尖括号<>，反斜杠\，冒号: 和符号＆，#号#等） . ），为了确保数据的原始性一定程度上能防范缓冲区溢出攻击的措施有，最好的过滤方法是在输出和调用期间执行代码转换（例如HTML实体）以防止脚本注入； 2）标签事件属性的黑白名单（建议使用白名单，可以使用正则表达式匹配实现规则，如果不在白名单中，则会直接对其进行拦截）

4. 跨站点请求伪造[CSRF或XSRF]是一种攻击方法，可阻止用户对当前登录的Web应用程序执行意外操作（使用网站对用户Web浏览器的信任）.

防御: 1）添加令牌/引用验证，避免攻击img标签请求； 2）添加验证码（通常仅用于敏感区域，例如登录页面，实现类似于令牌）

5. SQL注入可构造要由服务器执行以获取敏感数据的SQL代码.

防御: 1）关闭错误消息（您可以自定义以通过特殊链接显示错误消息，但需要对其进行保密）； 2）PDO prepare是预编译的，现在PHP版本具有PDO扩展，使用时最好预先编译处理查询，这样可以大大提高安全性； 3）过滤函数和类，有两种使用场景，一种是程序入口处的统一过滤，许多成熟的框架在这​​方面最好做. 另一种是在运行SQL语句之前使用它. 除了过滤单引号和其他功能（例如使用诸如addlashes，mysql_real_escape_string等过滤器进行过滤，intval和其他字符转换）以及一些开源的Class过滤器关键字（例如union和select）.

6. URL访问限制无效，黑客可以访问未经授权的资源连接以强制访问某些登录页面和历史记录页面.

防御: 1）改进权限验证系统，以确保所有链接和业务功能均受到有效访问控制机制的保护，并在进行任何处理之前验证用户的角色和权限. 确认不仅在第一步中，多步骤过程的每个步骤均已通过权限验证. 2）合理分配文件的存储位置，不要在公共目录中放置一些关键文件，以防通过人工拼接URL进行访问.

7. 会话身份验证漏洞-会话信息不受保护，黑客可以使用它进行修改和模拟. 存在安全风险.

防御: 1）同时使用Cookie和Session，您不仅可以从Cookie或Session中获取参数值，而且可以直接使用它； 2）不要将敏感数据放入Cookie. 设置会话时，还请确保客户端不是操作敏感的会话参数； 3）毕竟，Cookie存储在客户端中并且可以显式查看，因此存储在Cookie中的某些数据必须进行加密.

8. DNS攻击黑客利用DNS漏洞欺骗DNS服务器，从而导致DNS解析不正常，并且IP地址被转移，导致网站服务器无法正常打开. DDOS攻击，DNS欺骗等），请参阅: “ DNS攻击原理和预防”

防御: 1）足够的宽带； 2）可靠的服务提供商，例如Ali的云分析. 一方面一定程度上能防范缓冲区溢出攻击的措施有，服务提供者有自己的相应保护措施. 另一方面，如果他们遇到问题，请与服务提供商联系. 响应会更加及时.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-220184-1.html