在此主要说现在市面上存在的4个比较多的安全问题
一、钓鱼
![](https://i-blog.csdnimg.cn/blog_migrate/6032eb9d0856feff4f47833d4b092c3c.png)
钓鱼: 比较有诱惑性的标题
仿冒真实网站
骗取用户账号
骗取用户资料
二、篡改页面
![](https://i-blog.csdnimg.cn/blog_migrate/2772db720dbef3a960f813c7ffd374a0.png)
有一大部分被黑的网站中会有关键字 (在被黑的网站中,用的最多的“Hacked by”)
搜索引擎的语法
Intitle:keyword标题中含有关键字的网页
Intext:keyword正文中含有关键词的网页
Site:domain在某个域名和子域名下的网页
三、暗链
![](https://i-blog.csdnimg.cn/blog_migrate/80e6d4cfd45d4ad124330711d2209a42.png)
例如用intext:www.saijinn.com查看被入侵的页面(一般会挂载一些违法网站)
隐藏在网站当中的链接
网游/医疗/博彩/色情(目标是为了,提高搜索引擎的排名)
四、Webshell
上传文件
是一个web后门
是一个可执行环境
功能非常强大
Asp/php/jsp文件形式存在(都可以)
后门程序
![](https://i-blog.csdnimg.cn/blog_migrate/9556021865f219e76282bbc1e12ee3a4.png)
总结:
Web的主要安全问题涉及多个方面,包括但不限于以下几个方面:
-
跨站脚本攻击(XSS):这是一种常见的客户端脚本安全问题。黑客通过注入恶意脚本到web页面中,当用户浏览该页面时,恶意脚本会被执行,从而可能窃取用户的敏感信息、劫持用户会话,或者进行其他恶意行为。为了防止XSS攻击,开发者需要对用户输入进行严格的过滤和转义,确保用户输入的内容不会被浏览器当作脚本执行。
-
跨站请求伪造(CSRF):攻击者诱导受害者执行非预期的操作,例如在受害者已登录的情况下,发送恶意请求到受害者正在访问的web应用,从而窃取或篡改受害者的数据。为了防范CSRF攻击,通常需要使用同步令牌模式(Synchronizer Token Pattern)等技术,确保请求是来自合法的用户操作。
-
SQL注入:这是服务器端的一个安全问题。攻击者通过在web应用的输入字段中插入恶意的SQL代码,试图绕过应用的安全机制,直接对数据库进行查询或修改。为了防止SQL注入攻击,开发者需要避免在代码中直接拼接SQL语句,而是使用参数化查询或ORM(对象关系映射)框架等安全的方式来操作数据库。
-
文件上传漏洞:一些web应用允许用户上传文件,但如果应用没有对上传的文件进行严格的检查和过滤,攻击者可能会上传恶意文件,如包含病毒或木马的文件,或者利用上传的文件路径猜测进行目录遍历攻击。因此,对于文件上传功能,开发者需要实现严格的文件类型、大小和内容检查,以及安全的文件存储和访问机制。
-
会话管理问题:包括会话劫持、会话固定等攻击方式。攻击者可能通过窃取或固定用户的会话ID,获取用户的权限并进行恶意操作。为了防止这类攻击,应用应该使用安全的会话管理机制,如HTTPS来加密会话ID的传输,定期更换会话ID,以及实施严格的会话超时策略等。
-
点击劫持:攻击者通过覆盖或隐藏目标网页的某些元素,诱使用户在不知情的情况下执行某些操作,如点击按钮或链接。为了防止点击劫持,开发者可以使用X-Frame-Options等HTTP响应头来限制网页的嵌入,以及实施严格的用户交互验证机制。
-
不安全的直接对象引用:当应用使用可预测的资源标识符(如数据库记录ID)来访问资源时,攻击者可能通过修改这些标识符来访问或篡改未经授权的资源。为了避免这种问题,应用应该实现间接的对象引用机制,如使用不可预测的令牌或哈希值来引用资源。
为了应对这些安全问题,开发者需要采取一系列的安全措施,包括输入验证、输出编码、使用安全的编程实践、定期更新和修补软件漏洞、实施严格的安全策略等。同时,定期进行安全审计和渗透测试也是确保web应用安全性的重要手段。
画画不易,请不要随意拿走哦(虽然画的不咋地)!
现在刚刚开始,题材较为简单,希望各位大佬多多给点意见啦!!
由于现在我没有太高的绘画水平,所以现在的人物只有几个人。等到后期画画技术高了,会有不同的人物形象出来。