資訊專欄INFORMATION COLUMN
摘要：最近在學(xué)習安全相關(guān)的一些知識，目前對安全也只有了一些淺顯的理解，下面記錄我的一些理解。防御攻擊的方法主要是修改數(shù)據(jù)的接口，盡量使用請求使用同源策略推薦的文章安全之攻擊其實還講了其他的幾種方法，但是都沒接觸過，不太理解，所以沒有寫下來。
最近在學(xué)習web安全相關(guān)的一些知識，目前對web安全也只有了一些淺顯的理解，下面記錄我的一些理解。
因為對這一塊懂的東西不是很多，有些地方可能寫的不對或者不夠全，所以歡迎大家給點問題和建議。
目前只看了三種攻擊方式
一.XSS跨站腳本攻擊
二.sql注入
三.CSRF跨站請求偽造
反射型XSS攻擊
此種攻擊通俗點講，就是在用戶輸入的地方，輸入一些惡意的腳本，通常是textarea，然后通過某種方式立即執(zhí)行，然后獲取到一些想要得到的信息，比如cookie等，然后發(fā)送到自己的服務(wù)器。（沒有想到具體哪些案例會立即執(zhí)行）
此種攻擊的解決方案一般是在用戶輸入的地方做一些過濾，過濾掉這一部分惡意腳本。
存儲型XSS攻擊
此種攻擊通俗點講，就是在用戶輸入的地方，輸入一些惡意的腳本，通常是富文本編輯器或者textarea等地方，然后在讀取富文本的時候，如果沒有做過濾和限制，就會直接執(zhí)行用戶輸入的惡意腳本。存儲型說的就是數(shù)據(jù)會存儲到服務(wù)器或者數(shù)據(jù)庫。
此種攻擊的解決方案和上面一樣，在用戶輸入的地方做一些過濾，過濾掉這一部分惡意腳本。
dom型XSS攻擊
dom型XSS攻擊也是在用戶輸入的地方輸入一些腳本，不同的是這個腳本可能直接就在客戶端執(zhí)行，不經(jīng)過服務(wù)器。
xss攻擊基本是在用戶輸入的地方輸入一些惡意腳本，已達到以下的目的：
獲取cookie等一些重要的信息
插入一些js或者css修改和破壞頁面結(jié)構(gòu)
執(zhí)行某段js，使頁面跳轉(zhuǎn)到其他頁面
基本的防御方法就是在用戶輸入的地方或者顯示的地方：
過濾危險節(jié)點，如script，style，link，iframe等
過濾一些危險的屬性，如href，src等
對cookie設(shè)置httpOnly
二.CSRF攻擊關(guān)于CSRF攻擊的知識，我是看了這篇博客的Web安全之CSRF攻擊，個人覺得這篇文章還不錯，簡單清晰明了。
我個人感覺CSRF攻擊和XSS攻擊有點類似，也是在用戶輸入的地方輸入一些腳本，比如一個圖片，在圖片的src里加上某個地址，當頁面再次載入這個輸入的內(nèi)容的時候，就會發(fā)送請求，從而達到某種目的。
CSRF攻擊和xss有點類似，不一樣的是，CSRF冒充用戶在站內(nèi)做一些正常的操作，如關(guān)注某個人等，而XSS則是獲取一些信息，做一些惡意的操作等，其實具體的區(qū)別我也不是很理解，有機會的話再繼續(xù)深入探究一下。
防御CSRF攻擊的方法主要是：
修改數(shù)據(jù)的接口，盡量使用post請求
使用cookie同源策略
推薦的文章Web安全之CSRF攻擊其實還講了其他的幾種方法，但是都沒接觸過，不太理解，所以沒有寫下來。
三.SQL注入我之前寫過一個獲取微信小程序碼的接口，該接口對外開放沒有做任何限制，然后根據(jù)一些參數(shù)創(chuàng)建文件夾和文件名等信息，發(fā)現(xiàn)經(jīng)常會有一些SELECT開頭的文件夾和文件，SQL注入應(yīng)該就是傳入的參數(shù)里面帶有SQL語句，后面我加了一些過濾和判斷就沒有出現(xiàn)過了。
防御的主要措施就是：
對用戶輸入的內(nèi)容進行校驗和過濾
不要動態(tài)拼接SQL語句
不要使用管理員權(quán)限連接數(shù)據(jù)庫
敏感字段要進行MD5加密
文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/101878.html
摘要：使用簡記后端掘金全稱為即消息隊列。優(yōu)測優(yōu)社區(qū)干貨精選老司機亂談編輯器之神掘金前言是一種信仰，我自從年有了這個信仰，已經(jīng)個年頭了。 PHP 程序員進階學(xué)習書籍參考指南 - 后端 - 掘金PHP程序員進階學(xué)習書籍參考指南 @heiyeluren lastmodify: 2016/2/18 ... 當我們在談?wù)撉岸思用軙r，我們在談些什么 - 前端 - 掘金潘建旭，豈安科技（www.bigse...
摘要：也能幫你寫代碼了微軟和團隊一起推出擴展，預(yù)覽版可以在插件市場直接查找安裝。微軟宣布將采用內(nèi)核這對于諸多的前端開發(fā)者而言，無疑是本年底最大的福音具體的計劃可以參考官網(wǎng)的博客，在不久的將來，基于的瀏覽器將要正式和我們見面啦。 訂閱 / 投稿：https://github.com/txd-team/monthly本期小編：?Hkmu (扶容)?/?x-cold (尹摯) 新聞快報 npm ...
摘要：也能幫你寫代碼了微軟和團隊一起推出擴展，預(yù)覽版可以在插件市場直接查找安裝。微軟宣布將采用內(nèi)核這對于諸多的前端開發(fā)者而言，無疑是本年底最大的福音具體的計劃可以參考官網(wǎng)的博客，在不久的將來，基于的瀏覽器將要正式和我們見面啦。 訂閱 / 投稿：https://github.com/txd-team/monthly本期小編：?Hkmu (扶容)?/?x-cold (尹摯) 新聞快報 npm ...
閱讀 1136·2021-11-24 09:38
閱讀 3243·2021-11-19 09:56
閱讀 2965·2021-11-18 10:02
閱讀 735·2019-08-29 12:50
閱讀 2572·2019-08-28 18:30
閱讀 867·2019-08-28 18:10
閱讀 3675·2019-08-26 11:36
閱讀 2650·2019-08-23 18:23
