web網(wǎng)站常見攻擊分析

一個(gè)網(wǎng)站建立以后,如果不注意安全方面的問(wèn)題,很容易被人攻擊,下面創(chuàng)新互聯(lián)就帶大家一起討論一下幾種漏洞情況和防止攻擊的辦法.
一.跨站腳本攻擊(XSS)
跨站腳本攻擊（XSS，Cross-site scripting）是最常見和基本的攻擊WEB網(wǎng)站的方法。攻擊者在網(wǎng)頁(yè)上發(fā)布包含攻擊性代碼的數(shù)據(jù)。當(dāng)瀏覽者看到此網(wǎng)頁(yè)時(shí)，特定的腳本就會(huì)以瀏覽者用戶的身份和權(quán)限來(lái)執(zhí)行。通過(guò)XSS可以比較容易地修改用戶數(shù)據(jù)、竊取用戶信息，以及造成其它類型的攻擊，常見解決辦法:確保輸出到HTML頁(yè)面的數(shù)據(jù)以HTML的方式被轉(zhuǎn)義。出錯(cuò)的頁(yè)面的漏洞也可能造成XSS攻擊.比如頁(yè)面/gift/giftList.htm?page=2找不到,出錯(cuò)頁(yè)面直接把該url原樣輸出,如果攻擊者在url后面加上攻擊代碼發(fā)給受害者,就有可能出現(xiàn)XSS攻擊。這時(shí)候租憑一臺(tái)美國(guó)高防御服務(wù)器就可以完美一起解決了。
二. 跨站請(qǐng)求偽造攻擊（CSRF)

蒙陰網(wǎng)站建設(shè)公司創(chuàng)新互聯(lián),蒙陰網(wǎng)站設(shè)計(jì)制作，有大型網(wǎng)站制作公司豐富經(jīng)驗(yàn)。已為蒙陰上1000家提供企業(yè)網(wǎng)站建設(shè)服務(wù)。企業(yè)網(wǎng)站搭建\外貿(mào)網(wǎng)站制作要多少錢，請(qǐng)找那個(gè)售后服務(wù)好的蒙陰做網(wǎng)站的公司定做！

跨站請(qǐng)求偽造（CSRF，Cross-site request forgery）是另一種常見的攻擊。攻擊者通過(guò)各種方法偽造一個(gè)請(qǐng)求，模仿用戶提交表單的行為，從而達(dá)到修改用戶的數(shù)據(jù)，或者執(zhí)行特定任務(wù)的目的。為了假冒用戶的身份，CSRF攻擊常常和XSS攻擊配合起來(lái)做，但也可以通過(guò)其它手段，例如誘使用戶點(diǎn)擊一個(gè)包含攻擊的鏈接 解決的思路有:
1.采用POST請(qǐng)求,增加攻擊的難度.用戶點(diǎn)擊一個(gè)鏈接就可以發(fā)起GET類型的請(qǐng)求。而POST請(qǐng)求相對(duì)比較難，攻擊者往往需要借助javascript才能實(shí)現(xiàn)
2.對(duì)請(qǐng)求進(jìn)行認(rèn)證，確保該請(qǐng)求確實(shí)是用戶本人填寫表單并提交的，而不是第三者偽造的.具體可以在會(huì)話中增加token,確?？吹叫畔⒑吞峤恍畔⒌氖峭粋€(gè)人。當(dāng)然如果在網(wǎng)站建設(shè)之前把網(wǎng)站部署在創(chuàng)新互聯(lián)的高防御服務(wù)器上面，也是可以處理好這些攻擊問(wèn)題的。

三.Http Heads攻擊
凡是用瀏覽器查看任何WEB網(wǎng)站，無(wú)論你的WEB網(wǎng)站采用何種技術(shù)和框架，都用到了HTTP協(xié)議.HTTP協(xié)議在Response header和content之間，有一個(gè)空行，即兩組CRLF（0x0D 0A）字符。這個(gè)空行標(biāo)志著headers的結(jié)束和content的開始?！奥斆鳌钡墓粽呖梢岳眠@一點(diǎn)。只要攻擊者有辦法將任意字符“注入”到headers中，這種攻擊就可以發(fā)生，以登陸為例:有這樣一個(gè)url:
http://localhost/login?page=http%3A%2F%2Flocalhost%2Findex
當(dāng)?shù)卿洺晒σ院螅枰囟ㄏ蚧豴age參數(shù)所指定的頁(yè)面。下面是重定向發(fā)生時(shí)的response headers.
HTTP/1.1 302 Moved Temporarily
Date: Tue, 17 Aug 2010 20:00:29 GMT
Server: Apache mod_fcgid/2.3.5 mod_auth_passthrough/2.1 mod_bwlimited/1.4 FrontPage/5.0.2.2635
Location: http://localhost/index
假如把URL修改一下，變成這個(gè)樣子：
http://localhost/login?page=http%3A%2F%2Flocalhost%2Fcheckout%0D%0A%0D%0A%3Cscript%3Ealert%28%27hello%27%29%3C%2Fscript%3E
那么重定向發(fā)生時(shí)的reponse會(huì)變成下面的樣子：
HTTP/1.1 302 Moved Temporarily
Date: Tue, 17 Aug 2010 20:00:29 GMT
Server: Apache mod_fcgid/2.3.5 mod_auth_passthrough/2.1 mod_bwlimited/1.4 FrontPage/5.0.2.2635
Location: http://localhost/checkout<CRLF>
<CRLF>
<script>alert('hello')</script>
這個(gè)頁(yè)面可能會(huì)意外地執(zhí)行隱藏在URL中的javascript。類似的情況不僅發(fā)生在重定向（Location header）上，也有可能發(fā)生在其它headers中，如Set-Cookie header。這種攻擊如果成功的話，可以做很多事，例如：執(zhí)行腳本、設(shè)置額外的cookie（<CRLF>Set-Cookie: evil=value）等。
避免這種攻擊的方法，就是過(guò)濾所有的response headers，除去header中出現(xiàn)的非法字符，尤其是CRLF。
服務(wù)器一般會(huì)限制request headers的大小。例如Apache server默認(rèn)限制request header為8K。如果超過(guò)8K，Aapche Server將會(huì)返回400 Bad Request響應(yīng)：
對(duì)于大多數(shù)情況，8K是足夠大的。假設(shè)應(yīng)用程序把用戶輸入的某內(nèi)容保存在cookie中,就有可能超過(guò)8K.攻擊者把超過(guò)8k的header鏈接發(fā)給受害者,就會(huì)被服務(wù)器拒絕訪問(wèn).解決辦法就是檢查cookie的大小,限制新cookie的總大寫，減少因header過(guò)大而產(chǎn)生的拒絕訪問(wèn)攻擊
四.Cookie攻擊
通過(guò)Java Script非常容易訪問(wèn)到當(dāng)前網(wǎng)站的cookie。你可以打開任何網(wǎng)站，然后在瀏覽器地址欄中輸入：javascript:alert(doucment.cookie),立刻就可以看到當(dāng)前站點(diǎn)的cookie（如果有的話）。攻擊者可以利用這個(gè)特性來(lái)取得你的關(guān)鍵信息。例如，和XSS攻擊相配合，攻擊者在你的瀏覽器上執(zhí)行特定的Java Script腳本，取得你的cookie。假設(shè)這個(gè)網(wǎng)站僅依賴cookie來(lái)驗(yàn)證用戶身份，那么攻擊者就可以假冒你的身份來(lái)做一些事情。
現(xiàn)在多數(shù)瀏覽器都支持在cookie上打上HttpOnly的標(biāo)記,凡有這個(gè)標(biāo)志的cookie就無(wú)法通過(guò)Java Script來(lái)取得,如果能在關(guān)鍵cookie上打上這個(gè)標(biāo)記，就會(huì)大大增強(qiáng)cookie的安全性
五.重定向攻擊
一種常用的攻擊手段是“釣魚”。釣魚攻擊者，通常會(huì)發(fā)送給受害者一個(gè)合法鏈接，當(dāng)鏈接被點(diǎn)擊時(shí)，用戶被導(dǎo)向一個(gè)似是而非的非法網(wǎng)站，從而達(dá)到騙取用戶信任、竊取用戶資料的目的。為防止這種行為,我們必須對(duì)所有的重定向操作進(jìn)行審核,以避免重定向到一個(gè)危險(xiǎn)的地方.常見解決方案是白名單,將合法的要重定向的url加到白名單中,非白名單上的域名重定向時(shí)拒之,第二種解決方案是重定向token,在合法的url上加上token,重定向時(shí)進(jìn)行驗(yàn)證.
六.上傳文件攻擊
1.文件名攻擊,上傳的文件采用上傳之前的文件名,可能造成:客戶端和服務(wù)端字符碼不兼容,導(dǎo)致文件名亂碼問(wèn)題;文件名包含腳本,從而造成攻擊.
2.文件后綴攻擊.上傳的文件的后綴可能是exe可執(zhí)行程序,js腳本等文件,這些程序可能被執(zhí)行于受害者的客戶端,甚至可能執(zhí)行于服務(wù)器上.因此我們必須過(guò)濾文件名后綴,排除那些不被許可的文件名后綴.
3.文件內(nèi)容攻擊.IE6有一個(gè)很嚴(yán)重的問(wèn)題 , 它不信任服務(wù)器所發(fā)送的content type，而是自動(dòng)根據(jù)文件內(nèi)容來(lái)識(shí)別文件的類型，并根據(jù)所識(shí)別的類型來(lái)顯示或執(zhí)行文件.如果上傳一個(gè)gif文件,在文件末尾放一段js攻擊腳本,就有可能被執(zhí)行.這種攻擊,它的文件名和content type看起來(lái)都是合法的gif圖片,然而其內(nèi)容卻包含腳本,這樣的攻擊無(wú)法用文件名過(guò)濾來(lái)排除，而是必須掃描其文件內(nèi)容，才能識(shí)別。

創(chuàng)新互聯(lián)建站美國(guó)百兆帶防御服務(wù)器，低至699元起。

詳情請(qǐng)咨詢2727324602

E3 1230 16G 100Mcn2直連 10G ddos 699元

E5 2620 32G 100Mcn2直連 10G ddos 899元

分享標(biāo)題：web網(wǎng)站常見攻擊分析
路徑分享：http://muchs.cn/article4/egoe.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站設(shè)計(jì)、電子商務(wù)、動(dòng)態(tài)網(wǎng)站、網(wǎng)站內(nèi)鏈、服務(wù)器托管、Google

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)