简析web注入攻击

注入攻击是众多攻击之一，在注入攻击中，攻击者给程序提供恶意的输入，解析引擎把恶意输入作为命令或者查询的一部分，顺带着改变了程序执行的流程。

注入是web程序最古老的和最危险的攻击之一，它们能导致数据被偷，数据丢失，数据完整性丢失，dos ，甚至系统沦丧。主要产生原因是对用户输入验证不足。

这种攻击方式是web安全的主要问题之一，在OWASP Top 10 web安全风险列表中排行第一。注入攻击，尤其是SQL注入（SQLi攻击) 和跨站（xss），它们不仅危险并且普遍，特别是遗留在程序里面。

攻击面比较大的（特别是xss和Sql注入漏洞）注入漏洞尤其可怕。此外，注入攻击是漏洞中非常好理解的一种，这就意味着有许多免费提供和可靠的工具容许甚至一些没有经验的攻击者自动化的乱用这些漏洞。

SQL注入(SQLi)和跨站（xss）是许多常用注入攻击之一，下面列出常用攻击类型

第一种 代码注入

攻击者通过网站类型注入相应的代码，这个代码以当前网站用户的权限执行系统命令，在高级事件中，攻击者可能溢出来提权导致真个 web服务器的沦丧.

第二种 CRLF注入

攻击者注入一个特殊的CRLF字符，这个字符被用来区分http回复头和正文，导致可以写任意正文内容，这种攻击一般和xss结合使用。

第三种 XSS

攻击者注入任意脚本（一般是javascript）到合法网站或者web程序中，这个脚本执行在客户端

第四种 Email头注入