国产色诱美女免费视频|欧美精彩狠狠色丁香婷婷|91黑人|日本黄色小视频|欧美一级黄色视频在这里免费观看

IT培訓(xùn)-高端面授IT培訓(xùn)機(jī)構(gòu)
云和教育:云和數(shù)據(jù)集團(tuán)高端IT職業(yè)教育品牌
  • 國(guó)家級(jí)
    全民數(shù)字素養(yǎng)與技能培訓(xùn)基地
  • 河南省
    第一批產(chǎn)教融合型企業(yè)建設(shè)培育單位
  • 鄭州市
    數(shù)字技能人才(碼農(nóng))培養(yǎng)評(píng)價(jià)聯(lián)盟

什么是sql 注入攻擊?什么是跨站腳本?

  • 發(fā)布時(shí)間:
    2023-02-21
  • 版權(quán)所有:
    云和教育
  • 分享:

SQL 注入攻擊是注入攻擊最常見(jiàn)的形式(此外還有 OS 注入攻擊(Struts 2 的高危漏洞就是通過(guò) OGNL 實(shí)施 OS 注入攻擊導(dǎo)致的)),當(dāng)服務(wù)器使用請(qǐng)求參數(shù)構(gòu)造 SQL 語(yǔ)句時(shí),惡意的 SQL 被嵌入到 SQL 中交給數(shù)據(jù)庫(kù)執(zhí)行。SQL 注入攻擊需要攻擊者對(duì)數(shù)據(jù)庫(kù)結(jié)構(gòu)有所了解才能進(jìn)行,攻擊者想要獲得表結(jié)構(gòu)有多種方式:

(1)如果使用開(kāi)源系統(tǒng)搭建網(wǎng)站,數(shù)據(jù)庫(kù)結(jié)構(gòu)也是公開(kāi)的(目前有很多現(xiàn)成的系統(tǒng)可以直接搭建論壇,電商網(wǎng)站,雖然方便快捷但是風(fēng)險(xiǎn)是必須要認(rèn)真評(píng)估的);

(2)錯(cuò)誤回顯(如果將服務(wù)器的錯(cuò)誤信息直接顯示在頁(yè)面上,攻擊者可以通過(guò)非法參數(shù)引發(fā)頁(yè)面錯(cuò)誤從而通過(guò)錯(cuò)誤信息了解數(shù)據(jù)庫(kù)結(jié)構(gòu),Web 應(yīng)用應(yīng)當(dāng)設(shè)置友好的錯(cuò)誤頁(yè),一方面符合最小驚訝原則,一方面屏蔽掉可能給系統(tǒng)帶來(lái)危險(xiǎn)的錯(cuò)誤回顯信息);

(3)盲注。防范 SQL 注入攻擊也可以采用消毒的方式,通過(guò)正則表達(dá)式對(duì)請(qǐng)求參數(shù)進(jìn)行驗(yàn)證,此外,參數(shù)綁定也是很好的手段,這樣惡意的 SQL 會(huì)被當(dāng)做 SQL 的參數(shù)而不是命令被執(zhí)行,JDBC 中的 PreparedStatement 是支持參數(shù)綁定的語(yǔ)句對(duì)象,從性能和安全性上都明顯優(yōu)于 Statement。

XSS(Cross Site Script,跨站腳本攻擊)是向網(wǎng)頁(yè)中注入惡意腳本在用戶瀏覽網(wǎng)頁(yè)時(shí)在用戶瀏覽器中執(zhí)行惡意腳本的攻擊方式??缯灸_本攻擊分有兩種形式:

反射型攻擊(誘使用戶點(diǎn)擊一個(gè)嵌入惡意腳本的鏈接以達(dá)到攻擊的目標(biāo),目前有很多攻擊者利用論壇、微博發(fā)布含有惡意腳本的 URL 就屬于這種方式)

持久型攻擊(將惡意腳本提交到被攻擊網(wǎng)站的數(shù)據(jù)庫(kù)中,用戶瀏覽網(wǎng)頁(yè)時(shí),惡意腳本從數(shù)據(jù)庫(kù)中被加載到頁(yè)面執(zhí)行,QQ 郵箱的早期版本就曾經(jīng)被利用作為持久型跨站腳本攻擊的平臺(tái))。

CSRF 攻擊(Cross Site Request Forgery,跨站請(qǐng)求偽造)是攻擊者通過(guò)跨站請(qǐng)求,以合法的用戶身份進(jìn)行非法操作(如轉(zhuǎn)賬或發(fā)帖等)。CSRF 的原理是利用瀏覽器的 Cookie 或服務(wù)器的 Session,盜取用戶身份。

防范 CSRF 的主要手段是識(shí)別請(qǐng)求者的身份,主要有以下幾種方式:

(1)在表單中添加令牌(token);

(2)驗(yàn)證碼;

(3)檢查請(qǐng)求頭中的 Referer(前面提到防圖片盜鏈接也是用的這種方式)。

令牌和驗(yàn)證都具有一次消費(fèi)性的特征,因此在原理上一致的,但是驗(yàn)證碼是一種糟糕的用戶體驗(yàn),不是必要的情況下不要輕易使用驗(yàn)證碼,目前很多網(wǎng)站的做法是如果在短時(shí)間內(nèi)多次提交一個(gè)表單未獲得成功后才要求提供驗(yàn)證碼,這樣會(huì)獲得較好的用戶體驗(yàn)。