大型网站架构（五）固若金汤：网站的安全架构

本文仅供自己学习使用，本文参考自李智慧老师著的《大型网站技术架构：核心原理与案例分析》。

一、网站应用攻击与防御

1）XSS攻击

跨站点脚本攻击（Cross Site Script）

2）注入攻击

SQL注入攻击

OS注入攻击

3）CSRF攻击

跨站点请求伪造（Cross Site Request Forgery）

4）其他攻击和漏洞

Error Code（服务器端未处理的异常堆栈信息直接输出到客户端浏览器，黑客有可乘之机。应跳转至500页面）

HTML注释（页面中的HTML注释，会显示在客户端浏览器）

文件上传（如果上传可执行文件，攻击者可以在服务器上为所欲为）

路径遍历（攻击者在请求的URL中使用相对路径，遍历系统未开放的目录和文件。将JS、CSS等资源文件部署在单独的服务器，使用独立域名）

5）Web应用防火墙

6）网站安全漏洞扫描

二、信息加密技术

1）单向散列加密（MD5）

2）对称加密（加密和解密使用的秘钥是同一个秘钥）

3）非对称加密（加密和解密使用的秘钥是不相同的）

三、秘钥安全管理

可以将秘钥放在单独的秘钥服务器。知道的人越少（包括开发者），秘钥就越安全

四、信息过滤与反垃圾

1）文本匹配

2）分类算法

3）黑名单