网站的安全架构

网站安全攻防战

XSS攻击

防御手段：
- 消毒。 因为恶意脚本中有一些特殊字符，可以通过转义的方式来进行防范
- HttpOnly 对cookie添加httpOnly属性则脚本不能修改cookie。就能防止恶意脚本篡改cookie

注入攻击

SQL注入攻击需要攻击者对数据库结构有所了解才能进行，攻击者获取数据库表结构方式：

- 开源， 如果使用开源软件搭建，则数据库是公开的
- 错误回显， 把数据库错误抛到页面上
- 盲注。 主要是根据页面变化来做的
通常防止的办法有：
- 消毒， 对drop等关键字进行过滤
- 参数绑定 就是预编译

CSRF 攻击

跨站请求伪造
要求有两个条件就能进行攻击。

1. 用户使用浏览器登陆了授信网站并且没有退出，生成了本地token

2. 用户访问攻击者网站，攻击者通过302等让用户带一定的攻击参数再次访问授信网站
   因为浏览器发送请求自带token,因此授信网站不知道请求来源于用户自己还是攻击者，这样就会有问题了。
   防止办法：

   • 页面随机数。 每次页面请求生成一个随机数，然后在后台进行校验
   • 验证码。 比如手机验证码。 比较麻烦，可以在支付页上请求一下
   • Referer check HTTP请求头的Referer域zh录着请求来源，可通过检查请求来源验证是否合法。 很多网站使用这个功能实现图片防盗链

其他攻击方法和漏洞

• 直接异常信息，会给攻击者以提示。 可以使用mvc中的工具，把错误码异常等进行封装
• HTML注释， 会暴露功能，方便攻击。 上线时去除注释
• 文件上传， 如果本身功能就是上传文件去执行，那么就有可能执行非常危险的命令。 解决方式是，设置文件白名单，限制文件类型，另外还可以重新命名文件，改名为不可执行的
• 路径遍历， 使用相对路径来遍历未开放的目录。 方式是将JS,CSS部署在独立的服务器，使用独立域名。 其他文件不使用静态URL访问，动态参数不包含文件路径信息。

WEB应用防火墙

ModSecurity 统一拦截请求，过滤恶意参数，自动消毒，添加token。并且能够自动升级。
分成了处理逻辑和攻击规则集合 两个部分，有点像策略模式， 处理逻辑负责过滤请求识别攻击方式， 然后去找对应的攻击规则执行他来确定对应的防御手段。

网站安全漏洞扫描

有开源和商用的安全漏洞扫描工具

信息加密技术及密钥安全管理

CSDN被拖库，居然明文保存用户名密码。

单项三散列加密

就是MD5，这种，无法反转的。 但是因为固定的字符加密后是一样的，因此可以加点随机盐来增加破解难度

对称加密

DES算法。 用同一个密钥进行加密和解密
适用于信息交换的场合，比如Cookie啊，数据啊等等。
加解密效率高。但是要防止密钥丢失

非对称加密

加密解密使用不同的钥匙。 对外界公开的是公钥， 用公钥加密的信息，用私钥才能解开(https)，反之也成立(数字签名)。
用在https, 和数字签名的场合。
这样能保证及时公钥被知悉，以及传输数据被窃取了仍然无法破解数据信息。

密钥安全管理

上面的几种方式都会涉及到密钥的管理。
通常有如下的办法：

• 建立密钥服务器 减少接触密钥的人。 但是可能会成为瓶颈
• 将密钥算法放在应用系统中，密钥放在单独的服务器中。 这样就兼顾了安全和性能。
  
  应用调用密钥管理服务进行加解密。 该服务提供了多种算法，并且可扩展。 密钥服务从密钥服务器获取密钥，并缓存一定期限。 密钥服务器存储密钥的时候分片存储。

信息过滤与反垃圾

文本匹配

使用敏感词过滤。
简单的可以使用正则表达式
但是并发较高的网站可以使用Trie树的变种算法。
还有一种比较简单的办法是构造多级hash表。如：

这可过滤树，可以建立多级hash表，可能会浪费一定的内存
另外一些手段可以绕过敏感词检查，比如阿拉波 这样的需要降噪处理

分类算法

对广告贴，垃圾邮件等使用分类算法。
先输入正常邮件和垃圾邮件通过分类算法训练进行分类模型创建，然后利用分类模型来处理对邮件的识别。
常用的算法有贝叶斯(基于统计概率论)的算法合Association RuleClustering System.

黑名单

黑名单可以通过hash表实现，但是这样会占用太多的内存。
另外有一个稍微好点的办法是使用布隆过滤器。 2G内存，映射为16个big.
然后一个邮箱随机映射到0-16g中的一个范围设置为1. 判断的时候就看为不为1.这种只有1/8的空间。但是效果上差不多。

电子商务风险控制

风险

• 账户风险 被盗
• 买家风险 买家恶意下单占用库存进行不正当竞争，黄牛抢购低价，良品拒收等等
• 买家风险 假货，违禁商品等
• 交易风险 信用卡盗刷，洗钱等

风控

一般风控风味自动和人工两种。 通常是机器自动识别高风险然后交给人工去审核。 主要有两种手段：规则引擎和统计模型。

• 规则引擎
  
  不可能在代码里写死规则，所以就搞成这个模式的。可以随时修改业务规则。 业务执行部分逻辑不变只变规则。其实跟密钥管理的模型很想
• 统计模型
  规则引擎会变得难以维护，性能差。
  会使用分类算法或者其他机器学习的算法进行智能统计。 根据历史交易欺诈信息训练分类算法。然后进行加工得到交易风险分值。 可以有一定的模糊识别，会有一定预判性。并且性能更好。