常见的web安全问题及防御

Love The Way You Lie 2022-07-18 00:25 253阅读 0赞

## sql注入原理 ##

就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

### 总的来说有以下几点： ###

1.永远不要信任用户的输入，要对用户的输入进行校验，可以通过正则表达式，或限制长度，对单引号和双"-"进行转换等。

2.永远不要使用动态拼装SQL，可以使用参数化的SQL或者直接使用存储过程进行数据查询存取。

3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。

4.不要把机密信息明文存放，请加密或者hash掉密码和敏感的信息。

## XSS原理及防范 ##

Xss(cross-site scripting)攻击指的是攻击者往Web页面里插入恶意 html标签或者javascript代码。比如：攻击者在论坛中放一个

看似安全的链接，骗取用户点击后，窃取cookie中的用户私密信息；或者攻击者在论坛中加一个恶意表单，

当用户提交表单的时候，却把信息传送到攻击者的服务器中，而不是用户原本以为的信任站点。

### XSS防范方法 ###

首先代码里对用户输入的地方和变量都需要仔细检查长度和对”<”,”>”,”;”,”’”等字符做过滤；其次任何内容写到页面之前都必须加以encode，避免不小心把html tag 弄出来。这一个层面做好，至少可以堵住超过一半的XSS 攻击。

首先，避免直接在cookie 中泄露用户隐私，例如email、密码等等。

其次，通过使cookie 和系统ip 绑定来降低cookie 泄露后的危险。这样攻击者得到的cookie 没有实际价值，不可能拿来重放。

尽量采用POST 而非GET 提交表单

**CSRF的原理及防御：**

CSRF（Cross-site request forgery，跨站请求伪造）。CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。

要完成一次CSRF攻击，受害者必须依次完成两个步骤：

登录受信任网站A，并在本地生成Cookie。

在不登出A的情况下，访问危险网站B。

**CSRF的防御**：

从服务端和客户端两方面着手，防御效果是从服务端着手效果比较好，现在一般的CSRF防御也都在服务端进行。

服务端的CSRF方式方法很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数。

(1).Cookie Hashing(所有表单都包含同一个伪随机值)：这可能是最简单的解决方案了，因为攻击者不能获得第三方的Cookie(理论上)，所以表单中的数据也就构造失败了:>  
(2).验证码

这个方案的思路是：每次的用户提交都需要用户在表单中填写一个图片上的随机字符串，厄....这个方案可以完全解决CSRF，但个人觉得在易用性方面似乎不是太好，还有听闻是验证码图片的使用涉及了一个被称为MHTML的Bug，可能在某些版本的微软IE中受影响。

(3).One-Time Tokens(不同的表单包含一个不同的伪随机值)

## XSS与CSRF有什么区别吗？ ##

XSS是获取信息，不需要提前知道其他用户页面的代码和数据包。CSRF是代替用户完成指定的动作，需要知道其他用户页面的代码和数据包。

要完成一次CSRF攻击，受害者必须依次完成两个步骤：

登录受信任网站A，并在本地生成Cookie。

在不登出A的情况下，访问危险网站B。

##     ##

发表评论取消回复

表情：

评论列表（有 0 条评论，253人围观）

还没有评论，来说两句吧...

相关阅读

相关 Java Web安全防护问题：常见威胁及防御策略

在Java Web安全防护中，常见的威胁主要包括以下几个方面： 1. **SQL注入**：攻击者通过输入恶意的SQL代码来获取、修改或删除数据库中的信息。防御策略： -

╰+攻爆jí腚メ/ 2024年12月03日 07:00/ 0 赞/ 32 阅读

相关 Java Web应用安全：常见注入攻击及防御策略

在Java Web应用中，常见的注入攻击主要包括SQL注入、参数化查询绕过、XSS（跨站脚本）注入等。 1. SQL注入：攻击者通过输入恶意的SQL代码，获取或修改数据库中的

落日映苍穹つ/ 2024年11月25日 11:51/ 0 赞/ 32 阅读

相关 Java Web安全问题：CSRF攻击和防御

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的Web安全攻击，它利用用户已经认证的身份在不知情的情况下执行非预期的操作。这种攻击通常

系统管理员/ 2024年11月01日 23:30/ 0 赞/ 50 阅读

相关 Java Web安全防护：常见攻击及防御策略

Java Web安全防护是确保Web应用程序安全的重要部分。以下是一些常见的攻击类型及其防御策略： ###1. SQL注入攻击**攻击方式**：攻击者通过在Web表单输入或U

ゝ一纸荒年。/ 2024年11月01日 10:45/ 0 赞/ 48 阅读

相关 Java web应用常见安全漏洞：实例与防御策略

在Java Web应用中，常见的安全漏洞包括以下几个实例和对应的防御策略： 1. SQL注入：攻击者通过输入恶意的SQL代码来获取、修改或者删除数据库中的数据。防御

ゝ一纸荒年。/ 2024年10月15日 09:48/ 0 赞/ 80 阅读

相关 Web安全与防御

xss攻击（跨站脚本）是网站应用程序的安全泄露攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。攻击原理其特点是不

偏执的太偏执、/ 2023年10月10日 16:46/ 0 赞/ 65 阅读

相关常见的Web攻击方式及对应防御

Web攻击 XSS（跨站脚本攻击） CSRF（跨站请求伪造） Http Heads攻击 SQL 注入 DOS攻击（拒绝服务攻击） DD

我不是女神ヾ/ 2022年11月05日 10:58/ 0 赞/ 168 阅读

相关常见WEB攻击及防御技术

常见WEB攻击及防御技术一、XSS攻击　　【介绍】　　xss攻击是跨站脚本攻击，例如在表单中提交含有可执行的javascript的内容文本，如果服务器端没有过

缺乏、安全感/ 2022年10月01日 12:51/ 0 赞/ 55 阅读

相关常见的web安全问题及防御

sql注入原理就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。总的来说有以下几点： 1.永远

Love The Way You Lie/ 2022年07月18日 00:25/ 0 赞/ 254 阅读

相关 Java Web XSS安全防御

XSS攻击简单来讲就是攻击者在请求中巧妙地加上执行脚本，达到攻击的目的。实践过滤器方案和JSP的EL表达式+JSTL标签库方案都还可以达到防XSS攻击的目的。

以你之姓@/ 2022年04月06日 03:38/ 0 赞/ 293 阅读