常见的攻击以及预防

在这提一嘴Linux是有CLamav杀毒软件管理Linux系统的
详细:
欢迎使用CLamav杀毒软件管理Linux系统

csrf

中文名称：跨站请求伪造

CSRF可以做什么？

攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账……造成的问题包括：个人隐私泄露以及财产安全。

 目前防御 CSRF 攻击主要有三种策略：验证 HTTP Referer 字段；在请求地址中添加 token 并验证；在 HTTP 头中自定义属性并验证。

(1）验证 HTTP Referer 字段
（2）在请求地址中添加 token 并验证
（3）在 HTTP 头中自定义属性并验证

图解

xss

XSS 全称为 Cross Site Scripting，用户在表单中有意或无意输入一些恶意字符，从而破坏页面的表现！

.XSS 输入通常包含 JavaScript 脚本，如弹出恶意警告框：

2.XSS 输入也可能是 HTML 代码段，譬如：

(1).网页不停地刷新

(2).嵌入其它网站的链接

XSS的预防
　　1. 输入过滤
　　对用户的所有输入数据进行检测，比如过滤其中的“<”、“>”、“/”等可能导致脚本注入的特殊字符，或者过滤“script”、“javascript”等脚本关键字，或者对输入数据的长度进行限制等等。同时，我们也要考虑用户可能绕开　　　　ASCII码，使用十六进制编码来输入脚本。因此，对用户输入的十六进制编码，我们也要进行相应的过滤。只要能够严格检测每一处交互点，保证对所有用户可能的输入都进行检测和XSS过滤，就能够有效地阻止XSS攻击。

2. 输出编码
　　通过前面对XSS攻击的分析，我们可以看到，之所以会产生XSS攻击，就是因为Web应用程序将用户的输入直接嵌入到某个页面当中，作为该页面的HTML代码的一部分。因此，当Web应用程序将用户的输入数据输出到目标　　　　页面中时，只要用HtmlEncoder等工具先对这些数据进行编码，然后再输出到目标页面中。这样，如果用户输入一些HTML的脚本，也会被当成普通的文字，而不会成为目标页面HTML代码的一部分得到执行。

3. Cookie防盗
　　　　利用XSS攻击，攻击者可以很方便地窃取到合法用户的Cookie信息。因此，对于Cookie，我们可以采取以下的措施。首先，我们要尽可能地避免在Cookie中泄露隐私，如用户名、密码等；其次，我们可以将Cookie信息利用MD5等Hash算法进行多次散列后存放；再次，为了防止重放攻击，我们也可以将Cookie和IP进行绑定，这样也可以阻止攻击者冒充正常用户的身份。

php防止xss攻击的方法

<?php
if (isset($_POST['name'])){
    $str = trim($_POST['name']);  //清理空格
    $str = strip_tags($str);   //过滤html标签
    $str = htmlspecialchars($str);   //将字符内容转化为html实体
    $str = addslashes($str);
    echo $str;
}
?>
<form method="post" action="">
<input name="name" type="text">
<input type="submit" value="提交" >
</form>

防止SQL注入

通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，实现无帐号登录，甚至篡改数据库。
例1：
select * from user where id=100 ,表示查询id为100的用户信息，
如果id=100变为 id=100 or 2=2,sql将变为：select * from user where id=100 or 2=2，将把所有user表的信息查询出来，这就是典型的sql注入。
例2：
sql = “SELECT * FROM user WHERE username=’”+username+"’ AND password=’"+password+"’";

如果用户的输入的用户名如下，密码任意：
myuser’ or ‘foo’ = ‘foo’ –
那么我们的SQL变成了如下所示：
SELECT * FROM user WHERE username=‘myuser’ or ‘foo’ = ‘foo’ --’’ AND password=‘xxx’
在SQL里面–是注释标记，所以查询语句会在此中断。这就让攻击者在不知道任何合法用户名和密码的情况下成功登录了。

防止SQL注入的解决方案
1）对用户的输入进行校验，使用正则表达式过滤传入的参数
2）使用参数化语句，不要拼接sql，也可以使用安全的存储过程
3）不要使用管理员权限的数据库连接，为每个应用使用权限有限的数据库连接
4）检查数据存储类型
5）重要的信息一定要加密

转载:
https://www.cnblogs.com/drawwindows/archive/2013/03/11/2954259.html

https://www.cnblogs.com/zgf-666/p/9136321.html

https://huaxiazhijian.github.io/2014/08/28/csrf/

https://www.2cto.com/article/201307/224400.html