常见的Web攻击方式:SQL注入、XSS跨站脚本攻击、CSRF跨站点请求伪造

本文详细介绍了常见的Web攻击,包括SQL注入、XSS跨站脚本攻击和CSRF跨站点请求伪造,阐述了它们的原理并提供了相应的防御措施。SQL注入可通过输入恶意SQL命令欺骗服务器,XSS攻击则利用用户输入在浏览器执行恶意脚本,而CSRF攻击伪装合法请求执行未经授权的操作。防御策略包括输入验证、防止动态SQL、设置HTTP Only Cookie、使用CSRF Token等。
摘要由CSDN通过智能技术生成

常见的Web攻击有SQL注入、XSS跨站脚本攻击、跨站点请求伪造共三类,下面分别简单介绍。

1 SQL注入

1.1 原理

       SQL注入就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。SQL注入漏洞到底是以怎样的形式进行攻击的呢,接下来将以一个简单的实例来进行介绍。

       比如在一个登陆界面,有两个文本框分别用来输入用户名和密码,当用户点了登录按钮的时候,会对输入的用户名和密码进行验证。

在这里插入图片描述

验证的SQL语句可以简单理解为:select * from student where username=‘输入的用户名’ and password=‘输入的密码’ ,如果能够检索到数据,说明验证通过,否则验证不通过。

如果用户在用户名文本框中输入 ’ or ‘1’ = ‘1’ or ‘1’ = ‘1,则验证的SQL语句变成:select * from student where username=" or ‘1’ = ‘1’ or ‘1’ = ‘1’ and password= "
如果用户在密码文本框中输入 1 ’ or ‘1 ‘=’ 1,则验证的SQL语句变成:select * from student where username=’’ and password=‘1’ or ‘1’=‘1’
以上两个SQL语句的where条件永远是成立的,所以验证永远是有效的。

另外,如果在用户名文本框中输入 tom’ ; drop table student- -,则SQL语句变成:

select * from student where username='tom' ; 
drop table student--' and password=''

这样就变成两条SQL语句,执行完查询操作,接着直接把student表给删除了(双连接符表示注释)。

1.2 防御措施

       通过上面的描述我们就很清楚的明白,黑客如果发现平台里有SQL注入漏洞,那么我们的平台就会轻而易举的被攻破了。那么我们如何写代码,才能实现对SQL注入攻击进行更好的防御呢。下面将分别介绍下防御措施:

1、永远不要信任用户的输入

对用户的输入进行校验,可以通过正则表达式,或限制长度;对单引号和双“-”进行转换等;具体表现如下:

①输入为数字参数则必须进行数字类型判断

如采用正则表达式:String characterPattern = “^\d+$”;

②输入为字符串

评论 2
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值