WEB攻击与防御

这里列举一些常见的攻击类型与基本防御手段：

XSS攻击

跨站脚本（Cross-site scripting，简称XSS），把JS代码注入到表单中运行
例如在表单中提交含有可执行的JS的内容文本，如果服务器端没有过滤或转义这些脚本，而这些脚本由通过内容的形式发布到了页面上，这个时候如果有其他用户访问这个网页，那么浏览器就会执行这些脚本，从而被攻击，从而获取用户的cookie等信息。

解决办法：接收表单时把用户输入内容转义or过滤html、js代码

CSRF攻击：跨站域请求伪造

攻击者可以 利用你的身份你的名义去发送(请求)一段恶意的请求 ,从而导致可以利用你的账号(名义)去--购买商品、发邮件,恶意的去消耗账户资源,导致的一些列恶意行为.CSRF可以简单分为Get型和Post型两种

例如，小明在浏览银行A网站的时候并没有关掉银行网站，这时小明又访问了携带CSRF攻击的B网站，而这时候B网站通过对银行的服务器发送转账请求，并且携带小明的在银行网站的cookie信息，在参数上把小明账号上的钱转到B网站所有人的账户上，这时url得到响应，小明的钱就丢了。

解决办法：
1、敏感请求使用验证码。
2、验证HTTP Referer字段。Referer字段记录了HTTP请求的来源地址
3、地址中使用自身网站生成的token来验证

SQL注入

攻击者在提交表单的时候，在表单上面注入相关的sql语句，而系统把这些字段当成普通的变量发送给服务器端进行sql查询，则，由攻击者填写的sql会拼接在系统的sql语句上，从而进行数据库的某些操作。

解决办法：
1、表单过滤，验证表单提交的合法性，对一些特殊字符进行转义处理
2、数据库权限最小化
3、查询语句使用数据库提供的参数化查询接口，不要直接拼接SQL

URL权限与访问控制

能通过URL参数的修改达到访问他人页面，例如，黑客能够使用一下的链接去访问在某商城上自己的订单链接
这个时候如果网站没有相关权限验证，那么他也能通过下面的链接去访问其他人的订单。
https://***.***.com/normal/item.action?orderid=其他id

解决办法：

1.、添加权限系统，访问的时候可以加上相应的校验。

上传漏洞

在图片上传的时候，攻击者上传非图片，而是可远程执行的的脚本，这时候，入侵者就可以远程的执行脚本来对服务器进行攻击

解决办法：
1、限制文件上传类型
2、使用第三方文件托管等

服务拒绝攻击

服务拒绝攻击企图通过使你的服务计算机崩溃或把它压跨来阻止你提供服务，服务拒绝攻击是最容易实施的攻击行为

DOS攻击

Dos是拒绝服务攻击，而DDOS是分布式拒绝服务攻击；Dos与DDOS都是攻击目标服务器、网络服务的一种方式。Dos是利用自己的计算机攻击目标，也是一对一的关系，而DDOS是DoS攻击基础之上产生的一种新的攻击方式,利用控制成百上千台肉鸡，组成一个DDOS攻击群，同一时刻对目标发起攻击。

DDOS攻击

分布式拒绝服务攻击（Distributed Denial of Service），简单说就是发送大量请求是使服务器瘫痪
DDos攻击是在DOS攻击基础上的，可以通俗理解，dos是单挑，而ddos是群殴，分为带宽消耗型以及资源消耗型

SYN Flood 协议分析攻击(最常见)

简单说一下tcp三次握手，客户端先服务器发出请求，请求建立连接，然后服务器返回一个报文，表明请求以被接受，然后客户端也会返回一个报文，最后建立连接。那么如果有这么一种情况，攻击者伪造ip地址，发出报文给服务器请求连接，这个时候服务器接受到了，根据tcp三次握手的规则，服务器也要回应一个报文，可是这个ip是伪造的，报文回应给谁呢，第二次握手出现错误，第三次自然也就不能顺利进行了，这个时候服务器收不到第三次握手时客户端发出的报文，又再重复第二次握手的操作。如果攻击者伪造了大量的ip地址并发出请求，这个时候服务器将维护一个非常大的半连接等待列表，占用了大量的资源，最后服务器瘫痪。
体现：服务器带宽不足，不能挡住攻击者的攻击流量

CC攻击（Distributed HTTP flood，分布式HTTP洪水攻击）

CC攻击是DDoS攻击的一种类型，使用代理服务器向受害服务器发送大量貌似合法的请求（通常使用HTTP GET)。CC（Challenge Collapsar，挑战黑洞）根据其工具命名，攻击者创造性地使用代理机制，利用众多广泛可用的免费代理服务器发动DDoS攻击。许多免费代理服务器支持匿名模式，这使追踪变得非常困难

僵尸网络攻击

僵尸网络是指大量被命令与控制（C&C）服务器所控制的互联网主机群。攻击者传播恶意软件并组成自己的僵尸网络。僵尸网络难于检测的原因是，僵尸主机只有在执行特定指令时才会与服务器进行通讯，使得它们隐蔽且不易察觉。僵尸网络根据网络通讯协议的不同分为IRC、HTTP或P2P类等。

DOS与DDOS攻击防御

防火墙

防火墙可以设置规则，例如允许或拒绝特定通讯协议，端口或IP地址。当攻击从少数不正常的IP地址发出时，可以简单的使用拒绝规则阻止一切从攻击源IP发出的通信。
复杂攻击难以用简单规则来阻止，例如80端口（网页服务）遭受攻击时不可能拒绝端口所有的通信，因为其同时会阻止合法流量。此外，防火墙可能处于网络架构中过后的位置，路由器可能在恶意流量达到防火墙前即被攻击影响。然而，防火墙能有效地防止用户从启动防火墙后的计算机发起攻击。

交换机

大多数交换机有一定的速度限制和访问控制能力。有些交换机提供自动速度限制、流量整形、后期连接、深度包检测和假IP过滤功能，可以检测并过滤拒绝服务攻击。例如SYN洪水攻击可以通过后期连接加以预防。基于内容的攻击可以利用深度包检测阻止。

路由器

和交换机类似，路由器也有一定的速度限制和访问控制能力，而大多数路由器很容易受到攻击影响。

黑洞引导

黑洞引导指将所有受攻击计算机的通信全部发送至一个“黑洞”（空接口或不存在的计算机地址）或者有足够能力处理洪流的网络设备商，以避免网络受到较大影响。

流量清洗

当流量被送到DDoS防护清洗中心时，通过采用抗DDoS软件处理，将正常流量和恶意流量区分开。正常的流量则回注回客户网站。这样一来可站点能够保持正常的运作，处理真实用户访问网站带来的合法流量。