現(xiàn)在搭建網(wǎng)站通常最容易被攻擊的有哪些方面？

時間：2023-08-09 13:24:01 | 來源：網(wǎng)站運營

時間：2023-08-09 13:24:01 來源：網(wǎng)站運營

現(xiàn)在搭建網(wǎng)站通常最容易被攻擊的有哪些方面？：一.跨站腳本攻擊(XSS)
跨站腳本攻擊（XSS，Cross-sitescripting）是最常見和基本的攻擊WEB網(wǎng)站的方法。攻擊者在網(wǎng)頁上發(fā)布包含攻擊性代碼的數(shù)據(jù)。當(dāng)瀏覽者看到此網(wǎng)頁時，特定的腳本就會以瀏覽者用戶的身份和權(quán)限來執(zhí)行。通過XSS可以比較容易地修改用戶數(shù)據(jù)、竊取用戶信息，以及造成其它類型的攻擊，例如CSRF攻擊
常見解決辦法:確保輸出到HTML頁面的數(shù)據(jù)以HTML的方式被轉(zhuǎn)義
二.跨站請求偽造攻擊（CSRF)
跨站請求偽造（CSRF，Cross-siterequestforgery）是另一種常見的攻擊。攻擊者通過各種方法偽造一個請求，模仿用戶提交表單的行為，從而達(dá)到修改用戶的數(shù)據(jù)，或者執(zhí)行特定任務(wù)的目的。為了假冒用戶的身份，CSRF攻擊常常和XSS攻擊配合起來做，但也可以通過其它手段，例如誘使用戶點擊一個包含攻擊的鏈接
解決的思路有:
1.采用POST請求,增加攻擊的難度.用戶點擊一個鏈接就可以發(fā)起GET類型的請求。而POST請求相對比較難，攻擊者往往需要借助javascript才能實現(xiàn)
2.對請求進(jìn)行認(rèn)證，確保該請求確實是用戶本人填寫表單并提交的，而不是第三者偽造的.具體可以在會話中增加token,確?？吹叫畔⒑吞峤恍畔⒌氖峭粋€人
三.HttpHeads攻擊
凡是用瀏覽器查看任何WEB網(wǎng)站，無論你的WEB網(wǎng)站采用何種技術(shù)和框架，都用到了HTTP協(xié)議.HTTP協(xié)議在Responseheader和content之間，有一個空行，即兩組CRLF（0A）字符。這個空行標(biāo)志著headers的結(jié)束和content的開始?！奥斆鳌钡墓粽呖梢岳眠@一點。只要攻擊者有辦法將任意字符“注入”到headers中，這種攻擊就可以發(fā)生
四.Cookie攻擊
通過JavaScript非常容易訪問到當(dāng)前網(wǎng)站的cookie。你可以打開任何網(wǎng)站，然后在瀏覽器地址欄中輸入：javascript:alert(doucment.cookie),立刻就可以看到當(dāng)前站點的cookie（如果有的話）。攻擊者可以利用這個特性來取得你的關(guān)鍵信息。例如，和XSS攻擊相配合，攻擊者在你的瀏覽器上執(zhí)行特定的JavaScript腳本，取得你的cookie。假設(shè)這個網(wǎng)站僅依賴cookie來驗證用戶身份，那么攻擊者就可以假冒你的身份來做一些事情。
現(xiàn)在多數(shù)瀏覽器都支持在cookie上打上HttpOnly的標(biāo)記,凡有這個標(biāo)志的cookie就無法通過JavaScript來取得,如果能在關(guān)鍵cookie上打上這個標(biāo)記，就會大大增強cookie的安全性
五.重定向攻擊
一種常用的攻擊手段是“釣魚”。釣魚攻擊者，通常會發(fā)送給受害者一個合法鏈接，當(dāng)鏈接被點擊時，用戶被導(dǎo)向一個似是而非的非法網(wǎng)站，從而達(dá)到騙取用戶信任、竊取用戶資料的目的。為防止這種行為,我們必須對所有的重定向操作進(jìn)行審核,以避免重定向到一個危險的地方.常見解決方案是白名單,將合法的要重定向的url加到白名單中,非白名單上的域名重定向時拒之,第二種解決方案是重定向token,在合法的url上加上token,重定向時進(jìn)行驗證.
六.上傳文件攻擊
1.文件名攻擊,上傳的文件采用上傳之前的文件名,可能造成:客戶端和服務(wù)端字符碼不兼容,導(dǎo)致文件名亂碼問題;文件名包含腳本,從而造成攻擊.
2.文件后綴攻擊.上傳的文件的后綴可能是exe可執(zhí)行程序,js腳本等文件,這些程序可能被執(zhí)行于受害者的客戶端,甚至可能執(zhí)行于服務(wù)器上.因此我們必須過濾文件名后綴,排除那些不被許可的文件名后綴.
3.文件內(nèi)容攻擊.IE6有一個很嚴(yán)重的問題,它不信任服務(wù)器所發(fā)送的contenttype，而是自動根據(jù)文件內(nèi)容來識別文件的類型，并根據(jù)所識別的類型來顯示或執(zhí)行文件.如果上傳一個gif文件,在文件末尾放一段js攻擊腳本,就有可能被執(zhí)行.這種攻擊,它的文件名和contenttype看起來都是合法的gif圖片,然而其內(nèi)容卻包含腳本,這樣的攻擊無法用文件名過濾來排除，而是必須掃描其文件內(nèi)容，才能識別。