网络安全

#centos7查看防火墙所有信息
firewall-cmd --list-all
#centos7查看防火墙开放的端口信息
firewall-cmd --list-ports

SQL注入

将SQL语句放置于Form表单或请求参数之中提交到后端服务器，后端服务器如果未做输入安全校验，直接将变量取出进行数据库查询

防御手段：对输入进行检测，阻断带有SQL语句特征对输入

XSS攻击

跨站脚本攻击（Cross Site Scripting）- 将可执行的前端脚本代码（一般为JavaScript）植入到网页中

反射型： 攻击脚本直接经服务器转手后返回浏览器触发执行

• 攻击者将JS代码作为请求参数放置URL中，诱导用户点击 
• 用户点击后，该JS作为请求参数传给Web服务器后端
• 后端服务器没有检查过滤，简单处理后放入网页正文中返回给浏览器

存储型： 将攻击脚本入库存储，在进行查询时，再将攻击脚本渲染进网页 触发执行

• 攻击者网页回帖，帖子中包含JS脚本
• 回帖提交服务器后，存储至数据库
• 其他网友查看帖子，后台查询该帖子的回帖内容，构建完整网页

防御手段：前后端均需要做好内容检测，过滤掉可执行脚本的侵入

CSRF攻击