学习前端需要了解的网络安全协议和web漏洞

Internet安全协议（IPSec）

这是网络层协议，主要是引入加密算法、数据完整性验证和身份认证3种安全性措施实现了数据传输的安全性。可以有效地保护网络层及其各种上层协议。

传输层安全协议（SSL）

主要用来解决点对点数据安全传输和传输双方身份认证的网络安全传输协议。通过对传输数据进行加密，可以保护网络安全数据传输的机密性。

通常大家了解的https就是比http多了一层SSL。

应用层安全协议(SSH)

可以把所有的传输数据进行加密，能防止DNS欺骗和IP欺骗。

web脚本攻击

针对web服务器端应用系统的攻击技术。

主要包含：SQL注入，代码注入，命令注入。

攻击条件：第一用户可以自主编写输入的数据，第二是web程序的执行代码被拼接了用户输入的数据。

如何防范：在系统开发时，遵循数据与代码分离的原则，对用户输入的数据进行过滤加判断是完全可以避免注入漏洞

跨站点请求伪造攻击（CSRF）

针对web客户端的攻击技术。

属于伪造客户端请求的一种攻击方式。CSRF攻击是让用户访问攻击者构造的网页，执行网页中的恶意脚本，伪造用户的请求，对用户有登录权限的网站空间实施攻击。

如何防范：使用验证码。如果在每次访问自己的账户时都使用验证码，则可强制用户与web站点之间交互，从而防范CSRF攻击。

拒接服务攻击（DOS）

攻击者向目标计算机发出数量众多的攻击数据包，消耗目标计算机大量的网络带宽和计算机资源，使得计算机没有剩余带宽为用户提供服务，攻击严重可使计算机瘫痪。

如何方法：主要是支持DOS防御功能的防火墙，其工作原理是识别出异常的攻击数据包并过滤掉。

网站挂马技术

主要技术手段有框架挂马，js脚本挂马，body挂马，伪装欺骗挂马。

1. 框架挂马是在网页代码中添加隐蔽的iframe框架，打开网页时能够执行改框架打开对应的恶意网页或执行脚本。
2. js脚本挂马是将网页木马的代码写入到js脚本文件，利用用户打开网页时js脚本被调用的方法实现js脚本文件中的网页木马被隐蔽执行。
3. body挂马是指通过html文件的body标记添加恶意网页的地址，从而进行挂马的技术。
4. 伪造欺骗挂马是指在网页中某些图片、链接等特定的位置出嵌入含有恶意网址的链接代码，从而实现当用户点击的时候访问恶意网址的目的。

如何防范：定期对网页进行主动安全检测，部署web防火墙、入侵防御系统等。