简析web注入攻击

今天药忘吃喽~ 2022-01-29 07:47 325阅读 0赞

注入攻击是众多攻击之一，在注入攻击中，攻击者给程序提供恶意的输入，解析引擎把恶意输入作为命令或者查询的一部分，顺带着改变了程序执行的流程。

注入是web程序最古老的和最危险的攻击之一，它们能导致数据被偷，数据丢失，数据完整性丢失，dos ，甚至系统沦丧。主要产生原因是对用户输入验证不足。

这种攻击方式是web安全的主要问题之一，在OWASP Top 10 web安全风险列表中排行第一。注入攻击，尤其是SQL注入（SQLi攻击) 和跨站（xss），它们不仅危险并且普遍，特别是遗留在程序里面。

攻击面比较大的（特别是xss和Sql注入漏洞）注入漏洞尤其可怕。此外，注入攻击是漏洞中非常好理解的一种，这就意味着有许多免费提供和可靠的工具容许甚至一些没有经验的攻击者自动化的乱用这些漏洞。

SQL注入(SQLi)和跨站（xss）是许多常用注入攻击之一，下面列出常用攻击类型

**第一种** 代码注入

攻击者通过网站类型注入相应的代码，这个代码以当前网站用户的权限执行系统命令，在高级事件中，攻击者可能溢出来提权导致真个 web服务器的沦丧.

**第二种** CRLF注入

攻击者注入一个特殊的CRLF字符，这个字符被用来区分http回复头和正文，导致可以写任意正文内容，这种攻击一般和xss结合使用。

**第三种** XSS

攻击者注入任意脚本（一般是javascript）到合法网站或者web程序中，这个脚本执行在客户端

**第四种** Email头注入

这种攻击和CRLF攻击很相似，攻击者发送恶意的IMAP/SMTP 命令

**第五种** Host头注入

攻击者乱用HTTP Host头的绝对信任来篡改密码重设功能和web缓存

**第六种** LDAP 注入

攻击者注入LDAP语句来执行任意 LDAP命令，获得修改LDAP树的内容的权利

**第七种** OS命令注入

攻击者用当前web应用程序的权限来注入系统命令，在高级案例中，攻击者通过溢出获得权限提升导致系统沦丧

**第八种** SQL 注入

攻击者注入sql语句来读取和修改数据 库数据，在高级sql注入案例中，攻击者能执行sql语句写服务器上的任意文件和甚至执行系统命令，这会导致系统沦丧

**第九种** XPath 注入

攻击者注入数据到应用程序中来执行精心准备的XPath查询，以此来获得无授权访问和bypass授权

发表评论取消回复

表情：

评论列表（有 0 条评论，325人围观）

还没有评论，来说两句吧...

相关阅读

相关 Oracle SQL注入攻击案例解析

Oracle SQL注入攻击是一种利用Web应用程序对输入数据的处理方式不足，从而让攻击者在提交恶意SQL代码后，系统会执行这些代码，进而获取、修改或删除数据库中的信息。以下是

末蓝、/ 2025年01月03日 19:57/ 0 赞/ 17 阅读

相关 Oracle SQL注入攻击解析

Oracle SQL注入攻击是利用数据库对SQL语句的解析特性，通过构造恶意的SQL语句，实现对数据库系统的信息窃取、数据篡改等目的。解析过程一般包括以下几个步骤： 1.

骑猪看日落/ 2024年12月28日 05:21/ 0 赞/ 25 阅读

相关 MySQL：SQL注入攻击防范措施解析

SQL注入攻击是数据库安全领域常见的威胁，它利用用户输入的不合法SQL语句，达到窃取、篡改数据的目的。防范SQL注入攻击主要采取以下几种措施： 1. **参数化查询**：

怼烎@/ 2024年12月20日 20:30/ 0 赞/ 39 阅读

相关 Oracle SQL注入攻击案例解析

Oracle SQL注入攻击是一种利用Web应用程序对用户输入数据处理不当，通过构造恶意SQL语句，获取、修改甚至删除数据库中的敏感信息的攻击方式。案例解析： 1. **

水深无声/ 2024年12月20日 15:51/ 0 赞/ 27 阅读

相关 Web攻击手段之XSS攻击,CRSF, SQL注入攻击

Web攻击手段之XSS攻击,CRSF, SQL注入攻击 1. XSS攻击 XSS攻击的全称是跨站脚本攻击，指的是攻击者在网页中嵌入恶意

朴灿烈づ我的快乐病毒、/ 2022年08月23日 00:59/ 0 赞/ 55 阅读

相关【Web技术攻击】OS（Operating System）命令注入攻击

OS命令注入攻击是指通过Web应用，执行非法的操作系统命令达到攻击的目的 OS注入攻击案例：以表单的发送功能为例，该功能可将用户的邮件按已填写的对方邮箱地址放过去。

今天药忘吃喽~/ 2022年05月25日 02:43/ 0 赞/ 202 阅读

相关【Web的攻击技术】SQL注入

相关概念 SQL是用来操作关系型数据库管理系统（RDBMS）的数据库语言 SQL注入是指针对web应用使用的数据库，通过运行非法的SQL语句产生的攻击 S

╰+攻爆jí腚メ/ 2022年05月25日 02:40/ 0 赞/ 278 阅读

相关 Web安全问题：DDOS 攻击、SQL 注入

DDOS 攻击分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一

怼烎@/ 2022年01月31日 00:55/ 0 赞/ 438 阅读

相关简析web注入攻击

注入攻击是众多攻击之一，在注入攻击中，攻击者给程序提供恶意的输入，解析引擎把恶意输入作为命令或者查询的一部分，顺带着改变了程序执行的流程。注入是web程序最古老的和最危险的

今天药忘吃喽~/ 2022年01月29日 07:47/ 0 赞/ 326 阅读

相关 Golang web之httprouter简析

[上一篇][Link 1]简单介绍了http标准库的实现，并且着重介绍了`Handler`接口，`Handler`主要有两个功能：其一实现路由注册其二请求路由

谁借莪１个温暖的怀抱￠/ 2022年01月20日 10:49/ 0 赞/ 318 阅读