Web常见的安全问题及预防

1，SQL注入

定义：

SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

防御：

• 不要使用动态SQL：避免将用户提供的输入直接放入SQL语句中；最好使用准备好的语句和参数化查询，这样更安全。
• 不要将敏感数据保留在纯文本中：加密存储在数据库中的私有/机密数据；这样可以提供了另一级保护，以防攻击者成功地排出敏感数据。
• 限制数据库权限和特权：将数据库用户的功能设置为最低要求；这将限制攻击者在设法获取访问权限时可以执行的操作。
• 避免直接向用户显示数据库错误：攻击者可以使用这些错误消息来获取有关数据库的信息。
• 对访问数据库的Web应用程序使用Web应用程序防火墙（WAF）：这为面向Web的应用程序提供了保护，它可以帮助识别SQL注入尝试；根据设置，它还可以帮助防止SQL注入尝试到达应用程序（以及数据库）。
• 定期测试与数据库交互的Web应用程序：这样做可以帮助捕获可能允许SQL注入的新错误或回归。

 

2，XSS 全称跨站脚本攻击

定义：

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。

防御：

• 对输入和URL参数进行过滤(白名单和黑名单)：也就是对提交的所有内容进行过滤，对url中的参数进行过滤，过滤掉会导致脚本执行的相关内容；然后对动态输出到页面的内容进行html编码，使脚本无法在浏览器中执行。虽然对输入过滤可以被绕过，但是也还是会拦截很大一部分的XSS攻击。“过滤”可以通过PHP的htmlentities()或是htmlspecialchars()。
• 对输出进行编码：在输出数据之前对潜在的威胁的字符进行编码、转义是防御XSS攻击十分有效的措施。对所有要动态输出到页面的内容，通通进行相关的编码和转义。当然转义是按照其输出的上下文环境来决定如何转义的。可以通过识别‘<‘、’>’符号等方法。

3，CSRF （Cross-site request forgery）跨站请求伪造

定义：

跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。跟跨网站脚本（XSS）相比，XSS利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任

防御：

• 验证 HTTP Referer 字段：在 HTTP 头中有一个字段叫 Referer，它记录了该 HTTP 请求的来源地址，可用其来验证发起请求的域名是否来自合法网站地址还是黑客的CSRF攻击地址。
• 在请求地址中添加 token 并验证：CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于 cookie 中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的 cookie 来通过安全验证
• 在 HTTP 头中自定义属性并验证：这种方法也是使用 token 并进行验证，和上一种方法不同的是，这里并不是把 token 以参数的形式置于 HTTP 请求之中，而是把它放到 HTTP 头中自定义的属性里。

4，文件上传漏洞

定义：

上传文件的时候，如果服务器端脚本语言，未对上传的文件进行严格的验证和过滤，就有可能上传恶意的脚本文件，从而控制整个网站，甚至是服务器。

防御：

• 上传文件的存储目录不给执行权限：需要在服务端操作设置。
• 文件后缀白名单，注意0x00截断攻击：限制后缀名为 .jpg .doc 等等
• 及时更新web应用软件避免解析漏洞攻击