前端安全系列-完结

作为前端安全系列的最后一篇，本文主要以走马观花似的方式了解下WEB相关的其它比较常见的安全问题，其中也包括前端范围之外的攻击。

DDOS攻击

DDOS也叫分布式拒绝服务攻击。分布式拒绝服务攻击可以使很多的计算机在同一时间遭受到攻击，使攻击的目标无法正常使用。

攻击者进行一次DDoS攻击大概需要经过了解攻击目标、攻占傀儡机、实际攻击三个主要步骤。

DDOS就是通过同一时间发起大量正常请求（傀儡机）来使被攻击服务器疲于应付而出现宕机的情况。

SQL注入

服务端同学是经常和数据库打交道的，他们操作数据库一般使用 SQL语句。

例如，查找用户

SELECT * FROM user WHERE username = 'user' ADN password = 'pwd123' 

SQL注入指的是SQL语句中混入了攻击者的攻击字符串，而服务端同学没有对其进行过滤防范，导致执行意外的SQL操作

如user混入了注释#，就会改变原来的SQL语句

SELECT * FROM user WHERE username = 'user'#'ADN password = '111' 

SQL注入具有很大的威胁，因为其直接操作了生产环境的数据库，其属于服务端同学重点防范的攻击类型之一，相信很多后端框架都自带过滤功能

点击劫持（Iframe劫持）

点击劫持指的是，攻击者页面（A页面）使用 Iframe 加载 被攻击者页面（B页面）。这样攻击者可以在A页面展示出B页面的内容，并在B页面（iframe节点）上面覆盖透明遮挡层。此时用户因为自己访问的是B页面的网站，并在其页面进行点击操作，这时攻击者就可以劫持用户操作（比如调用有些需要用户操作才能触发的API或者跳转到攻击者指定的钓鱼网站）。

防范点击劫持的相关方法

1.X-FRAME-OPTIONS 机制

通过HTTP首部字段控制页面是否可以被其它网页嵌入

X-Frame-Options: deny
X-Frame-Options: sameorigin
X-Frame-Options: allow-from https://example.com/ 

2.使用JS脚本代码判断

// 禁止被嵌入，否则自动跳转
if (top.location !== window.location) {top.location = window.location;
} 

网络安全基础入门需要学习哪些知识？

网络安全学习路线

这是一份网络安全从零基础到进阶的学习路线大纲全览，小伙伴们记得点个收藏！

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-UG9TROn6-1676379718015)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]编辑

阶段一：基础入门

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-qnpYbcrn-1676379718016)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

网络安全导论

渗透测试基础

网络基础

操作系统基础

Web安全基础

数据库基础

编程基础

CTF基础

该阶段学完即可年薪15w+

阶段二：技术进阶（到了这一步你才算入门）

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-dfzkYazz-1676379718017)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

弱口令与口令爆破

XSS漏洞

CSRF漏洞

SSRF漏洞

XXE漏洞

SQL注入

任意文件操作漏洞

业务逻辑漏洞

该阶段学完年薪25w+

阶段三：高阶提升

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-WuIOFvVA-1676379718017)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

反序列化漏洞

RCE

综合靶场实操项目

内网渗透

流量分析

日志分析

恶意代码分析

应急响应

实战训练

该阶段学完即可年薪30w+

阶段四：蓝队课程

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-RAe3gdgG-1676379718018)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

蓝队基础

蓝队进阶

该部分主攻蓝队的防御，即更容易被大家理解的网络安全工程师。

攻防兼备，年薪收入可以达到40w+

阶段五：面试指南&阶段六：升级内容

需要上述路线图对应的网络安全配套视频、源码以及更多网络安全相关书籍&面试题等内容

同学们可以扫描下方二维码获取哦！