常见的网络攻击方法与防范措施

目录

1 SYN洪泛攻击

1.1 什么是SYN洪泛攻击

1.2 防范措施

2 DDos攻击

2.1 什么是DDos攻击

2.2 防范措施

3 XSS攻击

3.1 什么是XSS攻击

3.2 防范措施

4 SQL注入攻击

4.1 什么是SQL注入攻击

4.2 防范措施

---

1 SYN洪泛攻击

1.1 什么是SYN洪泛攻击

        SYN洪泛攻击属于 DOS 攻击的一种，它利用 TCP 协议缺陷，通过发送大量的半连接请求，耗费 CPU 和内存资源。
原理：

• 在三次握手过程中，服务器发送 [SYN/ACK] 包（第二个包）之后、收到客户端的 [ACK] 包（第三个包）之前的 TCP 连接称为半连接（half-open connect），此时服务器处于 SYN_RECV （等待客户端响应）状态。如果接收到客户端的 [ACK] ，则 TCP 连接成功，如果未接受到，则会不断重发请求直至成功。
• SYN 攻击的攻击者在短时间内伪造大量不存在的 IP 地址，向服务器不断地发送 [SYN] 包，服务器回复 [SYN/ACK] 包，并等待客户的确认。由于源地址是不存在的，服务器需要不断的重发直至超时。
• 这些伪造的 [SYN] 包将长时间占用未连接队列，影响了正常的 SYN，导致目标系统运行缓慢、网络堵塞甚至系统瘫痪。

1.2 防范措施

检测：当在服务器上看到大量的半连接状态时，特别是源 IP 地址是随机的，基本上可以断定这是一次SYN 攻击。

防范措施：

1. 通过防火墙、路由器等过滤网关防护。
2. 通过加固 TCP/IP 协议栈防范，如增加最大半连接数，缩短超时时间。
3. SYN cookies技术。SYN Cookies 是对 TCP 服务器端的三次握手做一些修改，专门用来防范 SYN洪泛攻击的一种手段。

2 DDos攻击

2.1 什么是DDos攻击

        DDos全称Distributed Denial of Service，分布式拒绝服务攻击。

最基本的DOS攻击过程如下：

1. 客户端向服务端发送请求链接数据包。
2. 服务端向客户端发送确认数据包。
3. 客户端不向服务端发送确认数据包，服务器一直等待来自客户端的确认。

        DDoS则是采用分布式的方法，通过在网络上占领多台“肉鸡”，用多台计算机发起攻击。

        DOS攻击现在基本没啥作用了，因为服务器的性能都很好，而且是多台服务器共同作用，1V1的模式黑客无法占上风。

2.2 防范措施

对于DDOS攻击，预防方法有：

1. 减少SYN timeout时间。在握手的第三步，服务器会等待30秒-120秒的时间，减少这个等待时间就能释放更多的资源。
2. 限制同时打开的SYN半连接数目。

3 XSS攻击

3.1 什么是XSS攻击

        XSS也称 cross-site scripting，跨站脚本。这种攻击是由于服务器将攻击者存储的数据原原本本地显示给其他用户所致的。

        比如一个存在XSS漏洞的论坛，用户发帖时就可以引入带有＜script＞标签的代码，导致恶意代码的执行。

3.2 防范措施

预防措施有：

1. 前端：过滤。
2. 后端：转义，比如go自带的处理器就具有转义功能。

4 SQL注入攻击

4.1 什么是SQL注入攻击

        SQL 注入就是在用户输入的字符串中加入 SQL 语句，如果在设计不良的程序中忽略了检查，那么这些注入进去的 SQL 语句就会被数据库服务器误认为是正常的 SQL 语句而运行，攻击者就可以执行计划外的命令或访问未被授权的数据。

SQL注入的原理主要有以下 4 点：

1. 恶意拼接查询；
2. 利用注释执行非法命令；
3. 传入非法参数；
4. 添加额外条件。

4.2 防范措施

避免SQL注入的一些方法：

1. 限制数据库权限，给用户提供仅仅能够满足其工作的最低权限。
2. 对进入数据库的特殊字符（’”\尖括号&*;等）转义处理。
3. 提供参数化查询接口，不要直接使用原生SQL。