读书笔记：网站架构之安全篇
目录：
一、网站应用攻击与防御
二、信息加密技术
三、信息过滤及反垃圾
PS：本文为《大型网站技术架构 & 核心原理与案例分析（李智慧 著）》一书的读书笔记
// =======================================================================================
网站应用攻击与防御
*：全球约70%的Web应用攻击来自XSS攻击和SQL注入，此外还包括CSRF，Session劫持等
一、XSS攻击
1、XSS攻击：跨站点脚本攻击（Cross Site Script）
*：黑客通过在网页文件嵌入恶意JavaScript脚本，在用户打开网页时，该脚本控制浏览器进行恶意操作
*：反射型XSS：攻击者诱使用户点击一个嵌入恶意脚本的链接，恶意脚本在攻击者服务器中
*：持久性XSS：攻击者提交带恶意脚本的请求，保存在被攻击Web站点的服务器中，用户正常访问Web站点均受攻击
2、主要防御手段
*：消毒：对特殊字符转义，如"< >"等
*：HttpOnly属性：Cookie添加HttpOnly属性，使得攻击者无法通过JavaScript脚本窃取Cookie
二、SQL注入
1、SQL注入：指攻击者在HTTP请求中注入恶意SQL命令，使得应用服务器调用请求构造SQL时和恶意SQL命令一起构造，并在数据库执行
2、SQL注入需攻击者了解数据库结构，一般攻击者对通过下面方式获取：
*：开源软件，如Discuz等
*：网站的错误回显
*：猜测性的盲注
3、主要防御手段
*：消毒：通过正则表达式过滤"drop table"等可能注入的SQL
*：参数绑定：使用预编译绑定参数是最好的手段，恶意SQL只会被当成SQL参数而不是命令
三、CSRF攻击（身份伪造）
1、CSRF攻击：跨站点请求伪造（Cross Site Request Forgery）
*：攻击者通过跨站请求，以合法用户的身份进行非法操作，如转账交易等
*：核心为利用用户浏览器Cookie或服务器Session策略，盗取用户身份
2、主要防御手段
*：表单Token：CSRF伪造用户请求，需构造用户请求的所有参数，表单Token通过在请求参数中增加一个随机数Token来阻止，每次响应页面Token均不同
*：验证码：即需手动输入验证码，但这是一个不好的用户体验
*：Referer源检查：Http请求头的Referer域中记录着请求来源，通过检查请求来源判断请求是否合法
四、其他攻击和漏洞
1、错误回显：即Web服务器异常时，直接把异常堆栈信息输出给客户端浏览器
*：防御方案很简单，只需配置跳转500页面到专门错误页面即可
2、HTML注释：在客户端的HTML代码中注释相关程序信息，给黑客造成攻击便利
3、文件上传：攻击者可以用网站提供的文件上传功能上传可执行文件
*：可通过限定上传文件格式等方式来防御
4、路径遍历：攻击者在URL中使用相对路径，遍历系统未开放的目录和文件
*：防御方法主要为将Js、HTML等资源文件独立部署等
// ===========================================================
信息加密技术
一、单向散列加密
*：单向散列加密指通过对不同输入长度的信息进行散列计算，得到固定长度的输出，如MD5和sha1等
*：虽然没有破解单向散列加密的算法，但是由于人为设置密码有一些常见模式（如123等），因此攻击者常用彩虹表（人为常用密码和对应密文的映射）等方式进行猜测式破解
*：为了加强单向散列计算的安全性，还可以给散列算法加盐，盐相当于加密的密钥
二、对称加密
*：对称加密指加密和解密使用同一个密钥，如DES和RC等。常用于信息需要安全交换和存储的场合，如Cookie加密等
*：优点是算法简单、加密效率高，缺点是远程通信如何安全地交换密钥是个难题
三、非对称加密
*：非对称加密的加密和解密使用不同密钥，其中一个对外公开的公钥，一个只有所有者知道的私钥，如RSA等。常用于信息安全传输，数字签名等场合
*：用公钥加密的信息需要用私钥才能解开，相反，用私钥加密的信息只有公钥能解开
四、密钥安全管理
*：前面讲述的这几种加密，能够起到安全效果的一个重要前提就是密钥的安全，即信息的安全是靠密钥保证的
*：方案1：把密钥和算法放在独立服务器上由专人维护。较安全，但应用性能开销较大，每次加解密都需要一次远程服务调用
*：方案2：把加解密算法放在应用服务器，密钥放在独立服务器。可把密钥切分成片分别存储，兼顾安全性又改善性能
// ===========================================================
信息过滤及反垃圾
一、文本匹配
*：主要用于解决敏感词过滤问题
*：可使用正则表达式，但其效率较低，基本都是使用Trie树的变种，空间和时间复杂度都比较好
二、分类算法
*：主要用于网站垃圾信息的识别
*：简单实用的分类算法是贝叶斯分类，这是利用概率统计方法进行分类的算法
三、黑名单
*：将发布过垃圾信息的IP或者用户列入黑名单，以后将这些IP或者用户的信息过滤掉
*：黑名单可以用Hash表实现，存于内存做计算，但如果黑名单很大会很占内存。在需求不需完全精确情况下，可使用布隆过滤器替代Hash表