web网站常见受攻击的方式

web网站常见受攻击的方式,一个网站建立以后,如果不注意安全方面的问题,很容易被人攻击,修改用户数据,窃取用户信息,以及造成其它类型的攻击,CSRF攻击常常和XSS攻击配合起来做,但也可以通过其它手段,例如诱使用户点击一个包含攻击的链接,

网站建好以后一定要注意好安全预防,否则很容易被黑客攻击,下面大兵来给大家说说web网站常见受攻击的方式。

web网站常见受攻击的方式:

1、跨站脚本攻击(XSS)

这种攻击方式是比较常见的一种WEB攻击方式,是以特定脚本方式利用用户身份和权限进行攻击网站的行业,可以轻易的修改用户的数据、窃取用户私密信息,要解决这种攻击方式,要确保网站输出到HTML页面的数据以HTML的方式被转义,出错的页面也有可能被黑客利用漏洞进行XSS攻击,例如123.html?page=2,黑客则会将url地址原样输出,在后面再加攻击代码发给用户,这样则很有可能会对用户造成XXS攻击。

2、跨站请求伪造攻击(CSRF)

跨站请求伪造攻击(CSRF)
,这个也是属于常见WEB网络攻击方式之一,网络攻击者通过黑客技术向网络伪造一个请求,模拟用户向网站提交表单的行业,目的是获取网站权限,修改网站数据或者执行其它非法的行为,这种攻击方式一般和XSS配合攻击,还有一种就是通过其它的黑客技术手段,诱使用户点击包含有攻击代码的链接,使用户中招。
解决的思路是
1)表单选择POST请求,提高被攻击的难度,用户点击一个链接一般发起的是GET请求,而POST请求相对GET请求更难被攻击,往往需要配合javascript才行;
2)对用户提交的表单信息进行认证,确保用户提交的数据是本人,而不是伪造成的身份,我们可以在真实用户请求会话中增加token请求,确保提交的表单信息是真实用户行业。

3、Http Heads攻击

现在浏览网站无论是电脑还是手机都是用浏览器查看网站,不管你的网站使用的何种技术和框架都离不开网站的HTTP协,HTTP协议有个漏洞,就是在header和content之间存在一个空行,黑客就是利用这个空行进行攻击网站,因此现在大部分网站都使用了HTTPS协议,完美的解决了这个问题,那么如何配置网站的HTTPS协议了,可查看《wordpress网站启用https证书步骤方法》。
例如有这样一个用户登录的URL地址:
http://localhost/login?page=http%3A%2F%2Flocalhost%2Findex
当用户登录成功后,需要重定向回page参数所指定的页面,以下就是重定向发生时的response headers.
HTTP/1.1 302 Moved Temporarily
Date: Tue, 17 Aug 2010 20:00:29 GMT
Server: Apache mod_fcgid/2.3.5 mod_auth_passthrough/2.1 mod_bwlimited/1.4 FrontPage/5.0.2.2635
Location: http://localhost/index
假如把这修这个URL地址改一下,变成:
http://localhost/login?page=http%3A%2F%2Flocalhost%2Fcheckout%0D%0A%0D%0A%3Cscript%3Ealert%28%27hello%27%29%3C%2Fscript%3E
那么就会造成以下的情况:
HTTP/1.1 302 Moved Temporarily
Date: Tue, 17 Aug 2010 20:00:29 GMT
Server: Apache mod_fcgid/2.3.5 mod_auth_passthrough/2.1 mod_bwlimited/1.4 FrontPage/5.0.2.2635
Location: http://localhost/checkout<CRLF>
<CRLF>
<script>alert(‘hello’)</script>
以上就执行隐藏在URL地址的javascript,不但发生在重定向(Location header)上,也有可能发生在headers中,例如Set-Cookie header,如果执行成功,就可以执行脚本、设置额外的cookie(<CRLF>Set-Cookie: evil=value)等。
要解决这种攻击,就要过滤掉所有response headers的非法字符,特别的CRLF。
而服务器一般都会限制request headers的大小,例如如果request header为8K,超过了这个值,服务器就会返回404:
对于大多数情况,8K已经是足够大的,如果程序把用户的内容存储在cookie中,就很有可能会超过k,黑客就会交超过8K的header内容发送给用户,此时服务器返回就是404,这种情况解决办法就是限制ookie的大小,避免header过大而发生服务器拒绝访问的情况。

4、Cookie攻击

黑客利用Java Script就非常容易访问当前站点的cookie,可利用cookie打开任何的网站,接着在浏览器地址栏中输入javascript:alert(doucment.cookie),就呆以很容易的看到当前站咪的cookie,黑客就是利用这点来获取用户的有效信息,再配合XSS攻击,在用户浏览器上执行特定的Java Script脚本,取得用户当前站点的cookie,例如这个网站是利用cookie来验证用户的身份,那么黑客就会利用这一点来做一些非法的事情
现在的浏览器已大多都支持在cookie上打上HttpOnly的标记,作用是让黑客无法法通过Java Script来取得用户的有效信息,大大增强了用户信息的安全私密性。

5、重定向攻击

“钓鱼”这个词汇相信大家都听说过,这种攻击方法是黑客会给用户发一个链接,当用户点击这个链接的时候,会被转到另一个黑客预先设计的非法网站,来达到骗取用户有效信息的目的。
我们如何预防这种行为呢?就是必须要对URL地址的重定向进行审核,避免跳转到另一个非法的URL地址,一般的有效的解决方法是将合法的url地址添加到白名单中,非白名单中的url地址则拒绝访问,第二种方法就是重定向token,在合法的url地址上加上token,再进行验证。

6、上传文件攻击

1)文件名攻击,上传的文件采用的是上传之前的文件名,有可能会造成客户端和服务端字符码不兼容,导致文件名乱码,如果文件名包含有脚本名称,则极易造成攻点被攻击的情况;
2)文件后缀攻击,上传的文件名后缀不能是.exe或者是.js的文件名,这样的文件一旦被执行很有可能会干扰站点的服务器空间,因此上传的文件必须要进行过滤,排除掉不能上传的文件后缀。
3)文件内容攻击,这种问题一般发生在老版浏览器中,例如IE6浏览器,不信任服务器给它发送的content type,而是自动根据文件内容来识别文件类型,并根据识别的类型来显示或者执行文件,例如上传的是一个gif文件,在文件末尾放置一段js攻击脚本,这种就有可能被执行,进行攻击网站,看起来虽然是合法的文件,但其实是包含脚本的攻击文件,这样服务器就无法根据文件名来过滤它,而必须要通过扫描才能进行识别。

原创文章,作者:大兵,如若转载,请注明出处:https://www.zhuzhouren.com.cn/jianzhanjiaocheng/fuwuqiyunwei/1280.html

发表评论

登录后才能评论
联系我

平时工作忙:合作还是咨询SEO服务,请简明扼表明来意!谢谢!

在线咨询:点击这里给我发消息

邮件:dabingseo@zhuzhouren.com.cn

工作时间:周一至周六,10:30-24:30,节假日休息

个人微信
个人微信
分享本页
返回顶部