视频课程
小黑屋思过中，禁止观看！
评论并刷新后可见

您需要在视频最下面评论并刷新后，方可查看完整视频

视频课程
立即观看
付费视频

您支付费用，方可查看完整视频

￥{{user.role.value}}
课程视频
开始学习
会员专享

视频合集

如何防御XSS、CSRF、SQL注入、CC、DDos攻击？

  • 课程笔记
  • 问答交流

常见的网络安全还是需要了解的，在我们编码的时候，很多都会涉及到，面试也经常问到。
为了助大家掌握好网络安全，这节课我会重要讲解以下5种攻击与防范：

如何防御XSS、CSRF、SQL注入、CC、DDos攻击？-mikechen

1.XSS
2.CSRF
3.SQL注入
4.CC攻击
5.Ddos攻击

 

XSS跨站脚本

跨站脚本（cross site script）简称为XSS，是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页面中去，使别的用户访问都会执行相应的嵌入代码。

危害
1、盗取用户资料，比如：登录帐号、网银帐号等
2、利用用户身份，读取、篡改、添加、删除企业敏感数据等
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击

XSS防范方案

XSS的解决办法：过滤用户提交的信息。

将重要的cookie标记为http only, 这样的话js 中的document.cookie语句就不能获取到cookie了

只允许用户输入我们期望的数据。 例如：age用户年龄只允许用户输入数字，而数字之外的字符都过滤掉。

对数据进行Html Encode 处理： 用户将数据提交上来的时候进行HTML编码，将相应的符号转换为实体名称再进行下一步的处理。

过滤或移除特殊的Html标签， 例如: <script>, <iframe> , < for <, > for >, &quot for

过滤js事件的标签。例如 “onclick=”, “onfocus 等等。

CSRF(跨站点请求伪造)

CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF更具危险性。

危害

主要的危害来自于，攻击者盗用了用户身份，发送恶意请求。比如：模拟用户的行为发送邮件，发消息，以及支付、转账等财产安全。

CSRF防范方案

如何防御XSS、CSRF、SQL注入、CC、DDos攻击？-mikechen

SQL注入

SQL注入是比较常见的网络攻击方式之一，主要是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，实现无帐号登录，甚至篡改数据库。

危害

数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。
网页篡改：通过操作数据库对特定网页进行篡改。
数据库被恶意操作：数据库服务器被攻击
服务器被远程控制，被安装后门
删除和修改数据库信息

SQL注入防范

如何防御XSS、CSRF、SQL注入、CC、DDos攻击？-mikechen

CC攻击

如何防御XSS、CSRF、SQL注入、CC、DDos攻击？-mikechen

原理

CC(Challenge Collapsar，挑战黑洞)根据其工具命名，
CC攻击是DDoS攻击的一种类型，使用代理服务器向受害服务器发送大量貌似合法的请求(通常使用HTTP GET)。

攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。

现象

短时间内10分钟左右，CPU和内存长时间接近100%

CC就是模拟多个用户(多少线程就是多少用户)不停地进行访问那些需要大量数据操作(就是需要大量CPU时间)的页面，造成服务器资源的浪费，CPU长时间处于100%。

Ddos攻击

DDoS 攻击，全称是 Distributed Denial of Service，翻译成中文就是分布式拒绝服务。一般来说是指攻击者利用“肉鸡”，俗称”傀儡机“对目标网站在较短的时间内发起大量请求，大规模消耗目标网站的主机资源，让它无法正常服务。

我开了一家有五十个座位的重庆火锅店，由于用料上等，童叟无欺。平时门庭若市，生意特别红火，而对面二狗家的火锅店却无人问津。二狗为了对付我，想了一个办法，叫了五十个人来我的火锅店坐着却不点菜，让别的客人无法吃饭。

Ddos攻击防范

如何防御XSS、CSRF、SQL注入、CC、DDos攻击？-mikechen

CDN 服务将网站访问流量分配到了各个节点中，这样一方面隐藏网站的真实 IP，另一方面即使遭遇 DDoS 攻击，也可以将流量分散到各个节点中，防止源站崩溃。

DDos 清洗，就是我发现客人进店几分钟以后，但是一直不点餐，我就把他踢出店里。

这个就是设置黑名单，此方法秉承的就是“错杀一千，也不放一百”的原则，会封锁正常流量，影响到正常业务。

评论交流
    说说你的看法
❯
返回顶部