常见的系统攻击

概述

        在常见的网络攻击中，按攻击目标分类，大致可以被分为两类，一类是针对网络针对网络基础设施的攻击，主要目标是网络设备和网络通信。例如：DDoS攻击。第二类是针对应用程序的攻击，目标是破坏或利用软件系统。例如：SQL注入、跨站脚本攻击（XSS）、跨站请求伪造（CSRF）、代码注入等。

一、拒绝服务攻击（DoS/DDoS）

概述：

• DoS（Denial of Service）攻击：攻击者通过向服务器发送大量无效请求，消耗服务器资源，使其无法处理合法用户的请求，导致服务中断。
• DDoS（Distributed Denial of Service）攻击：通过分布式的方式，从多个来源同时向目标服务器发送大量流量，进一步加大攻击的强度和难度。

具体的攻击手段

   反射放大攻击：如SSDP、NTP、Memcached 、DNS等，具体做法是攻击者伪造自身的源IP为攻击目标的IP，向开放的SSDP设备、NTP、DNS服务器、Memcached服务器等发送请求，这些服务器通常会返回比请求大数十倍仍至数千倍的响应报文给源IP服务器，导致源IP服务器造成较大的网络负担。

  SYN 洪泛攻击： 攻击者利用 TCP 协议的三次握手过程，发送大量带有 SYN 标志的 TCP 请求，但不完成握手的后续步骤（即不发送 ACK），导致服务器的连接队列被占满，无法接受新的连接请求。

  UDP 洪泛攻击：攻击者向目标服务器发送大量 UDP 数据包，这些数据包通常没有合法的目的端口，导致服务器不断查找和响应端口不可达消息，耗费资源。

  ICMP  洪泛攻击：攻击者向目标发送大量 ICMP Echo 请求（Ping），目标服务器必须对每个请求进行响应，消耗带宽和处理能力。

  HTTP 洪泛攻击：攻击者通过发送大量合法的 HTTP 请求（如 GET 或 POST）来耗尽目标服务器的处理资源。这类攻击通常模拟真实用户行为，难以区分。

  Smurf 攻击：攻击者向一个子网的广播地址发送伪造的 ICMP Echo 请求包，源地址伪造成目标服务器。子网上的所有设备都会响应，导致大量的 ICMP 响应包被发送到目标服务器。

  Slowloris 攻击：攻击者通过发送部分 HTTP 请求头，保持连接不完整，使服务器连接长时间保持开放状态，最终耗尽服务器的连接池资源。

  API 接口攻击：主要目标是API接口。攻击者对目标服务器的 API 接口发送大量请求，特别是那些消耗大量资源的 API，如数据库查询、文件处理等，耗尽服务器资源。

  CC攻击：主要目标是网页服务器。CC攻击通过大量伪装成合法的HTTP请求，耗尽服务器资源，使服务器无法处理正常用户的请求。目标是使网站或服务变得不可用。

二、Web应用攻击

概述：

   web应用攻击是指针对  web 应用程序和相关服务的各种恶意行为，这些攻击利用 web 应用的漏洞或设计缺陷，试图获取未授权的访问、窃取数据、破坏系统功能，或者进行其他恶意操作。常见的web应用攻击有：SQL注入、XSS跨站、WebShell上传、后门攻击、命令注入、非法HTTP协议请求、常见Web服务器漏洞攻击、CSRF、核心文件非授权访问、路径穿越、网站被扫描等。

具体的攻击手段

SQL 注入攻击：攻击者通过在 Web 表单、URL 参数或 HTTP 请求中注入恶意 SQL 语句，操纵数据库执行未经授权的操作，如读取、修改或删除数据。

跨站脚本攻击（XSS, Cross-Site Scripting）：攻击者在 web 应用中注入恶意的 JavaScript 代码，这些代码会在其他用户的浏览器中执行，通常用于窃取用户会话、重定向用户到恶意网站，或显示伪造的内容。比如在一个博客网站的某条评论中加一段 js代码，用于获取当前用户的某些信息。

跨站请求伪造（CSRF, Cross-Site Request Forgery）：攻击者诱骗已认证的用户在登录状态下执行恶意操作，如修改密码、转账等。攻击者通常通过邮件、聊天等方式发送恶意链接，用户一旦点击，即将通过浏览器获取用户的相关cookie信息并发送合法请求。

文件上传漏洞(WebShell)：攻击者通过 Web 应用程序的文件上传功能上传恶意文件（如 Web shell、恶意脚本等），如果应用未对文件类型、内容、路径进行严格检查，攻击者可以在服务器上执行恶意代码。

命令注入攻击：攻击者通过输入恶意命令来执行服务器上的系统命令，通常利用应用程序直接传递用户输入给操作系统而未进行适当过滤。

后门攻击：攻击者通过初次入侵或利用漏洞获取系统权限后，在系统中植入后门程序或脚本。后门程序可以伪装成合法文件，定期向攻击者发送访问凭证，或在接收到特定指令后打开系统访问权限。攻击者可以通过后门在将来随时进入系统，即使表面上已经清除所有恶意文件。

路径穿越攻击：攻击者通过在输入中插入../这样的路径字符，试图访问应用程序目录之外的文件。如果输入未经过滤，服务器可能会返回系统关键文件（如密码文件）的内容。

网站被扫描：攻击者使用自动化工具（如Nmap、Nikto、OpenVAS）扫描网站，寻找开放端口、漏洞、敏感信息和可利用的攻击面。通过扫描，攻击者可以绘制出网站的结构，并识别潜在的安全漏洞。

三、DDoS防御措施

1. 流量清洗服务

   • 描述：利用第三方DDoS防护服务（如Cloudflare、Akamai、AWS Shield等）对流量进行分析和过滤，将恶意流量清洗掉，只将合法流量传递给服务器。
   • 效果：能有效缓解大规模DDoS攻击，减少对内部网络的压力。

2. 流量分发和负载均衡

   • 描述：使用负载均衡器将流量分散到多个服务器上，避免单一服务器被压垮。可以结合CDN服务，将请求分发到不同地区的节点。
   • 效果：增加网络的冗余性和可用性，使攻击流量难以集中于单一目标。

3. 速率限制（Rate Limiting）

   • 描述：限制同一IP地址在一定时间内可以发出的请求数量，从而减少洪泛攻击带来的压力。
   • 效果：防止恶意IP地址频繁请求服务，降低攻击效率。

4. 防火墙和入侵防御系统（IPS）

   • 描述：使用防火墙和IPS配置规则来识别并阻止常见的DDoS攻击流量，如SYN洪泛、UDP洪泛等。
   • 效果：有效过滤掉已知的恶意流量，减轻服务器压力。

5. 启用SYN Cookies

   • 描述：针对SYN洪泛攻击，启用SYN Cookies机制，以确保TCP连接队列不会被攻击者填满。
   • 效果：保护服务器的连接资源，使得服务器能够处理正常的请求。

6. IP黑名单和地理封锁

   • 描述：将攻击来源的IP地址或可疑的地理区域加入黑名单，阻止其访问。
   • 效果：减少特定区域或来源的恶意流量，保护服务器免受攻击。

7. Anycast网络

   • 描述：利用Anycast网络技术，将流量分散到多个地理位置的节点上，以降低单一服务器的负载。
   • 效果：能有效抵抗分布式DDoS攻击，通过分散流量来减轻压力。

二、Web应用攻击防御措施

1. Web应用防火墙（WAF）

   • 描述：WAF可以实时监控和过滤进入Web应用的流量，阻止SQL注入、XSS、CSRF等攻击。可以通过规则集或机器学习来识别并拦截恶意请求。
   • 效果：提供针对Web应用层的防护，能有效阻止常见的Web攻击。

2. 输入验证与输出编码

   • 描述：严格验证用户输入，确保只接受符合预期的数据。对输出进行编码，避免执行注入的恶意代码。
   • 效果：防止SQL注入、XSS、命令注入等攻击。

3. 使用安全的开发框架

   • 描述：选择具有内置安全功能的开发框架，如Django、Spring等，这些框架可以防止SQL注入、XSS等攻击。
   • 效果：减少因开发不当导致的安全漏洞。

4. 参数化查询和ORM

   • 描述：使用参数化查询或ORM（对象关系映射）工具来处理数据库查询，避免直接拼接SQL语句。
   • 效果：防止SQL注入攻击，确保数据库操作的安全性。

5. 身份验证与访问控制

   • 描述：确保所有敏感操作和资源访问都经过严格的身份验证和权限控制。使用多因素认证（MFA）来增加安全性。
   • 效果：防止未经授权的访问和敏感数据泄露。

6. 防止CSRF攻击

   • 描述：在表单提交中加入CSRF Token，并在服务器端验证Token的合法性。
   • 效果：防止攻击者利用用户的身份执行恶意操作。

7. 定期安全扫描与漏洞修补

   • 描述：使用自动化工具定期扫描Web应用的安全漏洞，并及时修补发现的漏洞。关注Web服务器、数据库的安全更新。
   • 效果：减少已知漏洞的利用风险，增强整体安全性。

8. 加密敏感数据

   • 描述：对传输中的数据使用HTTPS/TLS加密，对存储中的敏感数据使用强加密算法（如AES）。
   • 效果：防止敏感数据在传输和存储过程中的泄露。

9. 日志监控与审计

   • 描述：记录并监控所有访问和操作日志，配置自动化的异常检测和告警系统。
   • 效果：及时发现并响应潜在的攻击行为，提供溯源依据。

10. 内容安全策略（CSP）

    • 描述：使用CSP头来限制网页中可以执行的内容源，防止XSS攻击。
    • 效果：减少恶意脚本的执行，保护用户免受跨站脚本攻击。