常见网络安全面试题

常见的 Web 攻击

1，什么是SQL注入攻击？
攻击者在HTTP请求中注入恶意的SQL代码，服务器使用参数构建数据库SQL命令时，恶意SQL被一起构造，并在数据库中执行。用户登录，输入用户名 lianggzone，密码 ‘ or ‘1’=’1 ，如果此时使用参数构造的方式，就会出现select * from user where name = ‘lianggzone’ and password = ‘’ or ‘1’=‘1’，不管用户名和密码是什么内容，使查询出来的用户列表不为空。

产生原因是由于程序开发者在编译时未对用户输入进行过滤，导致用户可以在url中进行SQL查询语句代入数据库。如何防范SQL注入攻击使用预编译的PrepareStatement是必须的，但是一般我们会从两个方面同时入手。

Web端：
1）有效性检验。
2）限制字符串输入的长度。

服务端
1）不用拼接SQL字符串。
2）使用预编译的PrepareStatement。
3）有效性检验。(为什么服务端还要做有效性检验？第一准则，外部都是不可信的，防止攻击者绕过Web端请求)
4）过滤SQL需要的参数中的特殊字符。比如单引号、双引号。

2，什么是XSS攻击？
跨站点脚本攻击XXS，英文全称 Cross Site Script，指攻击者通过篡改网页，嵌入恶意脚本程序，在用户浏览网页时，恶意脚本执行，控制用户浏览器进行恶意操作的一种攻击方式。

如何防范XSS攻击
1）前端，服务端，同时需要字符串输入的长度限制，限定一个合理的长度虽然无法完全防止 XSS 发生，但可以增加 XSS 攻击的难度。
2）前端，服务端，同时需要对HTML转义处理。将其中的”<”,”>”等特殊字符进行转义编码。

防 XSS 的核心是必须对输入的数据做过滤处理。

3，什么是CSRF攻击？
CSRF：Cross Site Request Forgery（跨站点请求伪造），属于请求伪造类的攻击，用户提交的URL和服务器端返回的信息需要做过滤否则就会被黑客做请求伪造攻击。发生在客户端的叫CSRF，发生在服务器端的叫SSRF。

CSRF 攻击者在用户已经登录目标网站之后，诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，达到攻击目的。即攻击者通过跨站请求，以合法的用户的身份进行非法操作。可以这么理解CSRF攻击：攻击者盗用你的身份，以你的名义向第三方网站发送恶意请求。CRSF能做的事情包括利用你的身份发邮件，发短信，进行交易转账，甚至盗取账号信息。

如何防范CSRF攻击

• 安全框架，例如Spring Security。
• token机制。在HTTP请求中进行token验证，如果请求中没有token或者token内容不正确，则认为CSRF攻击而拒绝该请求。
• 敏感操作添加验证码。通常情况下，验证码能够很好的遏制CSRF攻击，但是很多情况下，出于用户体验考虑，验证码只能作为一种辅助手段，而不是最主要的解决方案。
• HTTP referer字段识别。在HTTP Header中有一个字段Referer，它记录了HTTP请求的来源地址。如果Referer是其他网站，就有可能是CSRF攻击，则拒绝该请求。但是，服务器并非都能取到Referer。很多用户出于隐私保护的考虑，限制了Referer的发送。在某些情况下，浏览器也不会发送Referer，例如HTTPS跳转到HTTP。

4，什么是文件上传漏洞？
文件上传漏洞，指的是用户上传一个可执行的脚本文件，并通过此脚本文件获得了执行服务端命令的能力。

许多第三方框架、服务，都曾经被爆出文件上传漏洞，比如很早之前的Struts2，以及富文本编辑器等等，可被攻击者上传恶意代码，有可能服务端就被人黑了。

如何防范文件上传漏洞
文件上传的目录设置为不可执行。
1）判断文件类型。在判断文件类型的时候，可以结合使用MIME Type，后缀检查等方式。因为对于上传文件，不能简单地通过后缀名称来判断文件的类型，因为攻击者可以将可执行文件的后缀名称改为图片或其他后缀类型，诱导用户执行。
2）对上传的文件类型进行白名单校验，只允许上传可靠类型。
3）上传的文件需要进行重新命名，使攻击者无法猜想上传文件的访问路径，将极大地增加攻击成本，同时向shell.php.rar.ara这种文件，因为重命名而无法成功实施攻击。
4）限制上传文件的大小。
5）单独设置文件服务器的域名。

5，什么是DDos 攻击？
分布式拒绝服务攻击，是黑客控制肉鸡（合法的分布式服务器）来进行占用资源导致服务器资源耗尽，使攻击的目标无法正常使用。客户端向服务端发送请求链接数据包，服务端向客户端发送确认数据包，客户端不向服务端发送确认数据包，服务器一直等待来自客户端的确认，没有彻底根治的办法，除非不使用TCP。

DDos 预防：
1）限制同时打开SYN半链接的数目
2）缩短SYN半链接的Time out 时间
3）关闭不必要的服务

1. 过滤不必要的服务和端口：可以使用Inexpress、Express、Forwarding等工具来过滤不必要的服务和端口，即在路由器上过滤假IP。比如Cisco公司的CEF(Cisco Express Forwarding)可以针对封包Source IP和Routing Table做比较，并加以过滤。只开放服务端口成为目前很多服务器的流行做法，例如WWW服务器那么只开放80而将其他所有端口关闭或在防火墙上做阻止策略。

2. 异常流量的清洗过滤：通过DDOS硬件防火墙对异常流量的清洗过滤，通过数据包的规则过滤、数据流指纹检测过滤、及数据包内容定制过滤等顶尖技术能准确判断外来访问流量是否正常，进一步将异常流量禁止过滤。单台负载每秒可防御800-927万个syn攻击包。

3. 分布式集群防御：这是目前网络安全界防御大规模DDOS攻击的最有效办法。分布式集群防御的特点是在每个节点服务器配置多个IP地址（负载均衡），并且每个节点能承受不低于10G的DDOS攻击，如一个节点受攻击无法提供服务，系统将会根据优先级设置自动切换另一个节点，并将攻击者的数据包全部返回发送点，使攻击源成为瘫痪状态，从更为深度的安全防护角度去影响企业的安全执行决策。

4. 高防智能DNS解析：高智能DNS解析系统与DDOS防御系统的完美结合，为企业提供对抗新兴安全威胁的超级检测功能。它颠覆了传统一个域名对应一个镜像的做法，智能根据用户的上网路线将DNS解析请求解析到用户所属网络的服务器。同时智能DNS解析系统还有宕机检测功能，随时可将瘫痪的服务器IP智能更换成正常服务器IP，为企业的网络保持一个永不宕机的服务状态。

详细防御手段可查看博客：DDos攻击的常见方法及防御方法

常见网络安全问题：

什么是同源策略？
所谓同源是指"协议+域名+端口"三者相同，即便两个不同的域名指向同一个 ip 地址，也非同源。同源策略/SOP（Same origin policy）是一种约定，由 Netscape 公司 1995 年引入浏览器，它是浏览器最核心也最基本的安全功能，现在所有支持 JavaScript 的浏览器都会使用这个策略。如果缺少了同源策略，浏览器很容易受到 XSS、 CSFR 等攻击。

比如一个web应用，用户访问的页面，处理页面的请求的controller都是在同一个contextPath下的，无论在页面上请求AController还是BController，页面、A、B都是同源的，所处的空间位于同一个contextPath下。
同源策略是为了安全，确保一个应用中的资源只能被本应用的资源访问。否则，岂不是谁都能访问。

windows系统的安全键是什么？
ctrl+alt+delete(机器默认接收此指令后立即终端当前所有进程，激活重新登录页面提示输入用户名和密码)

主机被入侵了怎么办？
主机被入侵，优先看自己开放的服务。从而排查出可能的攻击点。比如开放http服务，可能是被web渗透进入。比如开放ssh，可能是被弱口令进入。在确定服务后，可以去相应服务日志下面排查，看看能不能找到攻击IP。

作为网站后台管理员，怎样防止后台页面被别人搜到？
答：最简单的是写一个过滤器，判断该用户是否为管理员，如果是则可以跳到管理员页面，如果不是，则调回首页（只要在users 表增加一个 role 字段来判断就行了。第二种就是建立一个权限系统（基于多个过滤器实现），如果你是使用 java 的，可以选择使用 spring security，参照官方的文档，配置一个简单的文件即可。复杂一点可以建立几个数据库表，用户表，权限表，资源表，用户-权限表，权限-资源表，权限组表，这样就可以实现一套很基础的权限系统了