常见的web安全问题及防御

Love The Way You Lie 2022-07-18 00:25 180阅读 0赞

## sql注入原理 ##

就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

### 总的来说有以下几点： ###

1.永远不要信任用户的输入，要对用户的输入进行校验，可以通过正则表达式，或限制长度，对单引号和双"-"进行转换等。

2.永远不要使用动态拼装SQL，可以使用参数化的SQL或者直接使用存储过程进行数据查询存取。

3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。

4.不要把机密信息明文存放，请加密或者hash掉密码和敏感的信息。

## XSS原理及防范 ##

Xss(cross-site scripting)攻击指的是攻击者往Web页面里插入恶意 html标签或者javascript代码。比如：攻击者在论坛中放一个

看似安全的链接，骗取用户点击后，窃取cookie中的用户私密信息；或者攻击者在论坛中加一个恶意表单，

当用户提交表单的时候，却把信息传送到攻击者的服务器中，而不是用户原本以为的信任站点。

### XSS防范方法 ###

首先代码里对用户输入的地方和变量都需要仔细检查长度和对”<”,”>”,”;”,”’”等字符做过滤；其次任何内容写到页面之前都必须加以encode，避免不小心把html tag 弄出来。这一个层面做好，至少可以堵住超过一半的XSS 攻击。

首先，避免直接在cookie 中泄露用户隐私，例如email、密码等等。

其次，通过使cookie 和系统ip 绑定来降低cookie 泄露后的危险。这样攻击者得到的cookie 没有实际价值，不可能拿来重放。

尽量采用POST 而非GET 提交表单

**CSRF的原理及防御：**

CSRF（Cross-site request forgery，跨站请求伪造）。CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。

要完成一次CSRF攻击，受害者必须依次完成两个步骤：

登录受信任网站A，并在本地生成Cookie。

在不登出A的情况下，访问危险网站B。

**CSRF的防御**：

从服务端和客户端两方面着手，防御效果是从服务端着手效果比较好，现在一般的CSRF防御也都在服务端进行。

服务端的CSRF方式方法很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数。

(1).Cookie Hashing(所有表单都包含同一个伪随机值)：这可能是最简单的解决方案了，因为攻击者不能获得第三方的Cookie(理论上)，所以表单中的数据也就构造失败了:>  
(2).验证码

这个方案的思路是：每次的用户提交都需要用户在表单中填写一个图片上的随机字符串，厄....这个方案可以完全解决CSRF，但个人觉得在易用性方面似乎不是太好，还有听闻是验证码图片的使用涉及了一个被称为MHTML的Bug，可能在某些版本的微软IE中受影响。

(3).One-Time Tokens(不同的表单包含一个不同的伪随机值)

## XSS与CSRF有什么区别吗？ ##

XSS是获取信息，不需要提前知道其他用户页面的代码和数据包。CSRF是代替用户完成指定的动作，需要知道其他用户页面的代码和数据包。

要完成一次CSRF攻击，受害者必须依次完成两个步骤：

登录受信任网站A，并在本地生成Cookie。

在不登出A的情况下，访问危险网站B。

##     ##

发表评论取消回复

表情：

评论列表（有 0 条评论，180人围观）

还没有评论，来说两句吧...

相关阅读

相关【Web安全】SQL注入攻击几种常见防御手法总结

文章目录前言一、使用参数化查询二、输入验证和过滤三、使用存储过程四、最小权限原则五、使用ORM框架六、使用准备语句

清疚/ 2024年02月21日 11:02/ 0 赞/ 10 阅读

相关 Linux安全-常见的攻击手段和防御手段

Linux安全问题以一张思维导图以概之 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aH

末蓝、/ 2023年02月11日 07:29/ 0 赞/ 223 阅读

相关【运维安全】带你熟悉常见的安全防御

常见的攻击手段拒绝服务（DOS）：通过大量的访问请求使服务器资源耗尽，无法向正常用户处理请求连接。常见的解决手段是：使用云服务商的流量清洗功能。阿里，AWS

谁践踏了优雅/ 2023年01月01日 15:50/ 0 赞/ 98 阅读

相关常见的web安全问题有哪些

常见的web安全问题有哪些（1）SQL注入 > SQL注入是一种常见的Web安全漏洞，攻击者利用这个漏洞，可以访问或修改数据，或者利用潜在的数据库漏洞进行攻击。SQL

r囧r小猫/ 2022年12月23日 06:47/ 0 赞/ 129 阅读

相关常见的Web攻击方式及对应防御

Web攻击 XSS（跨站脚本攻击） CSRF（跨站请求伪造） Http Heads攻击 SQL 注入 DOS攻击（拒绝服务攻击） DD

我不是女神ヾ/ 2022年11月05日 10:58/ 0 赞/ 98 阅读

相关常见的web安全问题及防御

sql注入原理就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。总的来说有以下几点： 1.永远

Love The Way You Lie/ 2022年07月18日 00:25/ 0 赞/ 181 阅读

相关【WEB安全】常见WEB漏洞

> 欢迎关注公众号： > > ![70][] \----------------------------------------------正文----

左手的ㄟ右手/ 2022年07月14日 07:58/ 0 赞/ 245 阅读

相关 Web 开发常见安全问题

不是所有 Web 开发者都有安全的概念，甚至可能某些安全漏洞从来都没听说过。这就是这篇科普文章的存在意义，希望 Web 开发者在开发时能依此逐条检查代码中的安全问题。 > 注

- 日理万妓/ 2022年06月10日 14:14/ 0 赞/ 211 阅读

相关 Web 开发常见安全问题

不是所有 Web 开发者都有安全的概念，甚至可能某些安全漏洞从来都没听说过。这就是这篇科普文章的存在意义，希望 Web 开发者在开发时能依此逐条检查代码中的安全问题。 > 注

╰+哭是因爲堅強的太久メ/ 2022年05月28日 08:43/ 0 赞/ 230 阅读

相关 Java Web XSS安全防御

XSS攻击简单来讲就是攻击者在请求中巧妙地加上执行脚本，达到攻击的目的。实践过滤器方案和JSP的EL表达式+JSTL标签库方案都还可以达到防XSS攻击的目的。

以你之姓@/ 2022年04月06日 03:38/ 0 赞/ 204 阅读