web攻击有哪些？怎么防护？

常见的web攻击有什么？~

Web服务可以认为是一种程序，它使用HTTP协议将网站中的文件提供给用户，以响应他们的请求。这些请求由计算机中的HTTP客户端转发。为Web服务提供硬件基础的专用计算机和设备称为Web服务器。从这种网络设计中可以看到，Web服务器控制着大量信息。如果一个人拥有进入Web服务器修改数据的能力，那他就可以对该Web服务器所服务的信息和网站做任何他想做的事情。有以下七种常见攻击：
1.目录遍历攻击 - 此类攻击利用Web服务器中的漏洞来未经授权地访问不在公共域中的文件和文件夹。一旦攻击者获得访问权限，他们就可以下载敏感信息，在服务器上执行命令或安装恶意软件。
2.拒绝服务攻击 - 借助此攻击类型，Web服务器将会无法被合法用户访问，一般表现为超时，崩溃。这通常被攻击者用于关闭具有特定任务的服务器。
3.域名劫持 -在此攻击中，攻击者更改DNS设置以重定向到他自己的Web服务器。
4.嗅探 - 在没有加密的情况下，通过网络发送的数据可能会被截获。通过对数据的分析攻击者可能会获得对Web服务器的未授权访问或身份伪造的能力。
5.网络钓鱼 - 这是一种将真实网站克隆到虚假网站的攻击，用户不知道他们是否在真实的网站上。这种攻击通过欺骗用户来窃取敏感信息，如登录密码、银行卡详细信息或任何其他机密信息。
6.域欺骗 - 在此攻击中，攻击者会破坏域名系统（DNS）或用户计算机，以便将流量定向到恶意站点。
7.Web破坏 - 通过这种类型的攻击，攻击者用自己的页面替换组织的网站。这种情况下，无论攻击者想在网站上取代什么，他都可以在这次攻击中做到。
如果遇到攻击却没有一个专业的程序员维护，网站会经常性的出现很多问题，网页打开缓慢、延迟、打不开甚至死机，因此流失很多客户。
推荐杭州超级科技的超级盾！主要针对HTTP/HTTPS类Web业务的全球分布式云防御产品。具有DDoS防御、CC防御、云WAF等功能。客户自身不需要在本地部署任何安全设备，只需采用CNAME替换网站A记录、或高防IP方式即可快速接入我们的服务。超级盾（WEB版）智能DNS能快速调度到全球离客户最近的清洗中心，具有智能路由、智能加速的特性。

高防
IP拉黑

1、DoS和DDoS攻击（DoS(Denial of Service)，即拒绝服务，造成远程服务器拒绝服务的行为被称为DoS攻击。其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击）
防范：(1) 反欺骗：对数据包的地址及端口的正确性进行验证，同时进行反向探测。(2) 协议栈行为模式分析：每个数据包类型需要符合RFC规定，这就好像每个数据包都要有完整规范的着装，只要不符合规范，就自动识别并将其过滤掉。(3) 特定应用防护：非法流量总是有一些特定特征的，这就好比即便你混进了顾客群中，但你的行为还是会暴露出你的动机，比如老重复问店员同一个问题，老做同样的动作，这样你仍然还是会被发现的。(4) 带宽控制：真实的访问数据过大时，可以限制其最大输出的流量，以减少下游网络系统的压力。
2、CSRF(Cross Site Request Forgery)，即跨站请求伪造，是一种常见的Web攻击，但很多开发者对它很陌生。CSRF也是Web安全中最容易被忽略的一种攻击。
防范：(1) 验证码。应用程序和用户进行交互过程中，特别是账户交易这种核心步骤，强制用户输入验证码，才能完成最终请求。在通常情况下，验证码够很好地遏制CSRF攻击。但增加验证码降低了用户的体验，网站不能给所有的操作都加上验证码。所以只能将验证码作为一种辅助手段，在关键业务点设置验证码。(2) Referer Check。HTTP Referer是header的一部分，当浏览器向web服务器发送请求时，一般会带上Referer信息告诉服务器是从哪个页面链接过来的，服务器籍此可以获得一些信息用于处理。可以通过检查请求的来源来防御CSRF攻击。正常请求的referer具有一定规律，如在提交表单的referer必定是在该页面发起的请求。所以通过检查http包头referer的值是不是这个页面，来判断是不是CSRF攻击。但在某些情况下如从https跳转到http，浏览器处于安全考虑，不会发送referer，服务器就无法进行check了。若与该网站同域的其他网站有XSS漏洞，那么攻击者可以在其他网站注入恶意脚本，受害者进入了此类同域的网址，也会遭受攻击。出于以上原因，无法完全依赖Referer Check作为防御CSRF的主要手段。但是可以通过Referer Check来监控CSRF攻击的发生。(3) Anti CSRF Token。目前比较完善的解决方案是加入Anti-CSRF-Token，即发送请求时在HTTP 请求中以参数的形式加入一个随机产生的token，并在服务器建立一个拦截器来验证这个token。服务器读取浏览器当前域cookie中这个token值，会进行校验该请求当中的token和cookie当中的token值是否都存在且相等，才认为这是合法的请求。否则认为这次请求是违法的，拒绝该次服务。这种方法相比Referer检查要安全很多，token可以在用户登陆后产生并放于session或cookie中，然后在每次请求时服务器把token从session或cookie中拿出，与本次请求中的token 进行比对。由于token的存在，攻击者无法再构造出一个完整的URL实施CSRF攻击。但在处理多个页面共存问题时，当某个页面消耗掉token后，其他页面的表单保存的还是被消耗掉的那个token，其他页面的表单提交时会出现token错误。
3、XSS(Cross Site Scripting)，跨站脚本攻击。为和层叠样式表(Cascading Style Sheets，CSS)区分开，跨站脚本在安全领域叫做“XSS”。
防范：(1) 输入过滤。永远不要相信用户的输入，对用户输入的数据做一定的过滤。如输入的数据是否符合预期的格式，比如日期格式，Email格式，电话号码格式等等。这样可以初步对XSS漏洞进行防御。上面的措施只在web端做了限制，攻击者通抓包工具如Fiddler还是可以绕过前端输入的限制，修改请求注入攻击脚本。因此，后台服务器需要在接收到用户输入的数据后，对特殊危险字符进行过滤或者转义处理，然后再存储到数据库中。(2) 输出编码。服务器端输出到浏览器的数据，可以使用系统的安全函数来进行编码或转义来防范XSS攻击。在PHP中，有htmlentities()和htmlspecialchars()两个函数可以满足安全要求。相应的JavaScript的编码方式可以使用JavascriptEncode。(3) 安全编码。开发需尽量避免Web客户端文档重写、重定向或其他敏感操作，同时要避免使用客户端数据，这些操作需尽量在服务器端使用动态页面来实现。(4) HttpOnly Cookie。预防XSS攻击窃取用户cookie最有效的防御手段。Web应用程序在设置cookie时，将其属性设为HttpOnly，就可以避免该网页的cookie被客户端恶意JavaScript窃取，保护用户cookie信息。(5)WAF(Web Application Firewall)，Web应用防火墙，主要的功能是防范诸如网页木马、XSS以及CSRF等常见的Web漏洞攻击。由第三方公司开发，在企业环境中深受欢迎。
4、SQL注入(SQL Injection)，应用程序在向后台数据库传递SQL(Structured Query Language，结构化查询语言)时，攻击者将SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
防范：(1) 防止系统敏感信息泄露。设置php.ini选项display_errors=off，防止php脚本出错之后，在web页面输出敏感信息错误，让攻击者有机可乘。(2) 数据转义。设置php.ini选项magic_quotes_gpc=on，它会将提交的变量中所有的’(单引号)，”(双引号)，\(反斜杠)，空白字符等都在前面自动加上\。或者采用mysql_real_escape()函数或addslashes()函数进行输入参数的转义。(3) 增加黑名单或者白名单验证。白名单验证一般指，检查用户输入是否是符合预期的类型、长度、数值范围或者其他格式标准。黑名单验证是指，若在用户输入中，包含明显的恶意内容则拒绝该条用户请求。在使用白名单验证时，一般会配合黑名单验证。
5、上传漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。该漏洞允许用户上传任意文件可能会让攻击者注入危险内容或恶意代码，并在服务器上运行。
防范： (1)检查服务器是否判断了上传文件类型及后缀。 (2) 定义上传文件类型白名单，即只允许白名单里面类型的文件上传。 (3) 文件上传目录禁止执行脚本解析，避免攻击者进行二次攻击。 Info漏洞 Info漏洞就是CGI把输入的参数原样输出到页面，攻击者通过修改输入参数而达到欺骗用户的目的。

DDOS ，sql注入，网站漏洞，应用漏洞， 开启防火墙，数据检测，流量监控，及时打补丁等

大多数都是通过一些敏感端口进行的吧，关关敏感端口，打开防火墙、杀毒软件，基本就差不多了。其他一些系统漏洞、反序列化漏洞什么的另当别论。

---

黔西南布依族苗族自治州15642299887： 常见的WEB攻击有哪些? - ？
夕咐安坤： 常见的Web攻击分为两类:一是利用Web服务器的漏洞进行攻击,如CGI缓冲区溢出,目录遍历漏洞利用等攻击;二是利用网页自身的安全漏洞进行攻击,如SQL注入,跨站脚本攻击等.常见的针对Web应用的攻击有: 缓冲区溢出攻击者利用超...

黔西南布依族苗族自治州15642299887： 如何防范常见的Web攻击 - ？
夕咐安坤： 今天,从开发人员的角度,并结合我在开发过程中遇到的问题,说说《如何防范常见的Web攻击》话题.SQL注入攻击SQL注入攻击,这个是最常聊到的话题,使用过Java的开发人员,第一个反应就是一定要使用预编译的PrepareStatement,是吧?什么是SQL注入攻击攻击者在HTTP请求中注入恶意的SQL代码,服务器使用参数构建数据库SQL命令时,恶意SQL被一起构造,并在数据库中执行.用户登录,输入用户名 lianggzone,密码 ' or '1'='1 ,如果此时使用参数构造的方式,就会出现

黔西南布依族苗族自治州15642299887： 怎么避免Web威胁防止风险? ？
夕咐安坤： 每个计算机用户,只要访问网页,都有遭受恶意软件攻击的风险.对用户进行教育和培训,采取预防性措施以及制定一个现代化的安全方案是构建防御现代Web威胁的综合...

黔西南布依族苗族自治州15642299887： web服务器被攻击,如何检查并防范呢! - ？
夕咐安坤： 1、先看日志是什么类型的攻击,2、如果是CC,则可以在网站程序上增加防攻击代码或用软防火墙;3、如果是DDOS,那得换具有硬防抗DDOS攻击的机房;4、如果是入侵,那需找相应的防入侵方法.5、如果服务器是在美国那就好办了,找【红盾 免费对抗攻击】,他们有提供专业的免费对抗服务.6、如果是被挂外键刷网站流量,则可以增加防盗链方法,避免盗链.

黔西南布依族苗族自治州15642299887： web安全攻击方式都有些什么? - ？
夕咐安坤： 非法输入 Unvalidated Input 在数据被输入程序前忽略对数据合法性的检验是一个常见的编程漏洞.随着OWASP对Web应用程序脆弱性的调查,非法输入的问题已成为大多数Web应用程序安全漏洞方面的一个普遍现象. 失效的访问控制Broken ...

黔西南布依族苗族自治州15642299887： 网站被攻击常见几种方式和防护方式方法 - ？
夕咐安坤： 网页篡改 攻击描述:针对网站程序漏洞,植入木马(webshell、跨站脚本攻击),篡改网页,添加黑链或者嵌入非本站信息,甚至是创建大量目录网页,以博彩攻击织梦CMS最常见.危害说明:网站信息被篡改,本站访客不信任,搜索引擎(...

黔西南布依族苗族自治州15642299887： Web应用安全如何防御或者检查漏洞? ？
夕咐安坤： 这个漏洞确实挺可怕的,据说每隔9 小时就会发布 1 个严重漏洞,并且有可能会进行... 想要同时做到预防和解决威胁Web应用安全的漏洞,不妨了解下F5推出的产品.F5一...

黔西南布依族苗族自治州15642299887： web应用防火墙可以有效防止哪些攻击行为 - ？
夕咐安坤： WEB应用防火墙是集WEB防护、网页保护、负载均衡、应用交付于一体的WEB整体安全防护设备.它集成全新的安全理念与先进的创新架构,保障用户核心应用与业务持续稳定的运行. 部署图示 1、事前主动防御,智能分析应用缺陷、屏蔽恶...

黔西南布依族苗族自治州15642299887： 如何防范网页木马的攻击?？
夕咐安坤： 日志 > 天下杂侃[内部体验] 转载到我空间 复制本文网址 隐藏签名档 大字体 选用该信纸 上一篇|下一篇|返回日志列表上一篇|下一篇|返回草稿列表 设置置顶 | 编辑 | 删除编辑 | 删除防范网页木马的攻击 发表于:2008年8月7日 22时36分34秒来源:...

黔西南布依族苗族自治州15642299887： 怎么防范网页被木马攻击 - ？
夕咐安坤： 来自网络的攻击手段越来越多了,一些恶意网页会利用软件或系统操作平台等的安全漏洞,通过执行嵌入在网页HTML超文本标记语言内的Java Applet小应用程序、JavaScript脚本语言程序、ActiveX软件部件交互技术支持可自动执行的代码程序...