本文仅供自己学习使用,本文参考自李智慧老师著的《大型网站技术架构:核心原理与案例分析》。
一、网站应用攻击与防御
1)XSS攻击
跨站点脚本攻击(Cross Site Script)
2)注入攻击
SQL注入攻击
OS注入攻击
3)CSRF攻击
跨站点请求伪造(Cross Site Request Forgery)
4)其他攻击和漏洞
Error Code(服务器端未处理的异常堆栈信息直接输出到客户端浏览器,黑客有可乘之机。应跳转至500页面)
HTML注释(页面中的HTML注释,会显示在客户端浏览器)
文件上传(如果上传可执行文件,攻击者可以在服务器上为所欲为)
路径遍历(攻击者在请求的URL中使用相对路径,遍历系统未开放的目录和文件。将JS、CSS等资源文件部署在单独的服务器,使用独立域名)
5)Web应用防火墙
6)网站安全漏洞扫描
二、信息加密技术
1)单向散列加密(MD5)
2)对称加密(加密和解密使用的秘钥是同一个秘钥)
3)非对称加密(加密和解密使用的秘钥是不相同的)
三、秘钥安全管理
可以将秘钥放在单独的秘钥服务器。知道的人越少(包括开发者),秘钥就越安全
四、信息过滤与反垃圾
1)文本匹配
2)分类算法
3)黑名单