前端面试资料之大厂真题篇(二)

web常见的攻击方式有哪些？如何防御？

Web应用常见的攻击方式有很多，以下是一些主要的攻击类型及其防御措施：

1. 跨站脚本攻击（XSS）

概述

XSS攻击通过向Web页面注入恶意脚本，使得这些脚本在用户浏览器中执行。常见的XSS类型包括存储型XSS、反射型XSS和DOM型XSS。

防御措施

• 输入过滤：对用户输入进行严格的过滤和验证，移除或转义特殊字符。
• 输出转义：在输出数据到页面前进行HTML转义，防止恶意脚本执行。
• 内容安全策略（CSP）：配置CSP头部，限制页面可以加载的资源和脚本。

2. SQL注入攻击（SQL Injection）

概述

SQL注入攻击通过在输入字段中注入恶意SQL语句，从而操控数据库进行未经授权的操作。

防御措施

• 使用预编译语句（Prepared Statements）：避免直接将用户输入拼接到SQL语句中。
• 输入验证：对用户输入进行严格的验证和过滤，防止恶意SQL注入。
• 最小权限原则：限制数据库用户权限，防止攻击者通过SQL注入获取高权限操作。

3. 跨站请求伪造（CSRF）

概述

CSRF攻击通过欺骗用户在已认证的Web应用上执行未经授权的操作。

防御措施

• CSRF Token：在表单或AJAX请求中加入唯一的CSRF Token，并在服务器端验证。
• SameSite Cookie：设置Cookie的SameSite属性，防止跨站点的请求带上Cookie。
• 双重提交Cookie：在请求中同时提交CSRF Token和Cookie进行双重验证。

4. 文件上传漏洞

概述

攻击者通过上传恶意文件到服务器，可能会导致服务器代码执行、信息泄露等问题。

防御措施

• 文件类型检查：严格验证上传文件的类型，只允许特定的文件类型。
• 文件名过滤：对上传的文件名进行过滤，防止特殊字符注入。
• 存储位置：将上传的文件存储在服务器外部路径，并使用随机命名防止文件覆盖。

5. 拒绝服务攻击（DoS/DDoS）

概述

攻击者通过大量请求或数据包，耗尽服务器资源，导致正常用户无法访问服务。

防御措施

• 流量限制：使用Rate Limiting限制单个IP的请求频率。
• 防火墙和负载均衡：使用Web应用防火墙（WAF）和负载均衡来抵御大量请求。
• 分布式防护：采用CDN服务，通过分布式网络缓解DDoS攻击。

6. 目录遍历攻击（Directory Traversal）

概述

攻击者通过输入特殊字符，试图访问Web服务器上的敏感文件。

防御措施

• 路径验证：对用户输入的路径进行严格验证，防止目录遍历字符（如 ../）。
• 最小权限原则：限制Web服务器对文件系统的访问权限，防止访问敏感文件。
• 移除敏感信息：确保生产环境中不包含敏感配置文件或调试信息。

7. 会话劫持（Session Hijacking）

概述

攻击者通过窃取用户会话ID，冒充用户进行未授权操作。

防御措施

• HTTPS：使用HTTPS加密传输，防止会话ID被窃取。
• 会话固定：每次登录时重新生成会话ID，防止会话固定攻击。
• 设置Cookie属性：使用HttpOnly和Secure属性保护会话Cookie。

8. 远程代码执行（RCE）

概述

攻击者通过注入恶意代码，使其在服务器上执行。

防御措施

• 输入验证：对用户输入进行严格的验证和过滤，防止恶意代码注入。
• 最小权限原则：限制服务器上可执行代码的权限，防止恶意代码执行。
• 安全更新：及时更新和修补服务器软件，防止已知漏洞被利用。

总结

防御Web攻击的关键在于严格的输入验证、正确的输出转义、合理的权限控制以及及时的安全更新。通过综合运用上述防御措施，可以有效地减少Web应用受到各种攻击的风险。

​

资料来源：岩石教程-大厂真题系列

​