常见的web攻击与防御

SQL注入

GET类型注入判断
' 单引号出错
and 1 = 1 正确
and 1 = 2 错误

POST类型注入判断
'id' #
'id' --
'' or 1 #

防御方法
 - 数据库编程接口传参来构成sql语句
 - 不要使用字符串拼接sql语句

文件上传漏洞

XSS（跨站脚本攻击）

持久型xss
	存储型xss
	DOM型xss

非持久型xss
	反射型xss

防御方法
 - 编码：对用户输入的数据进行HTML Entity编码
 - 防御：移除用户上传的DOM属性，如onerror等
 - 校正：避免直接对HTML Entity解码，使用DOM Parse转换，校正不配对的DOM标签

CSRF（跨站请求伪造攻击）

防御方法
 - 尽量使用POST
 - 加入验证码
 - 加入自定义Header
 - 验证Referer
 - Anti CSRF Token

DDOS（分布式拒绝服务攻击）

SYN（泛洪攻击）