攻击原理解析与预防

Posted 2021-02-10 cuiyupu

XSS
将输入的数据进行转义处理，比如说讲 < 转义成&lt；

 

SQL注入
在java中，我们可以使用预编译语句(PreparedStatement)，这样的话即使我们使用sql语句伪造成参数，到了服务端的时候，这个伪造sql语句的参数也只是简单的字符，并不能起到攻击的作用。
很多orm框架已经可以对参数进行转义
做最坏的打算，即使被’拖库‘(‘脱裤，数据库泄露‘)。数据库中密码不应明文存储的，可以对密码使用md5进行加密，为了加大破解成本，所以可以采用加盐的（数据库存储用户名，盐（随机字符长），md5后的密文）方式。

 

CSRF
之所以被攻击是因为攻击者利用了存储在浏览器用于用户认证的cookie，那么如果我们不用cookie来验证不就可以预防了。所以我们可以采用token（不存储于浏览器）认证。
通过referer识别，HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器基此可以获得一些信息用于处理。那么这样的话，我们必须登录银行A网站才能进行转账了。

 

DDOS
最直接的方法增加带宽。但是攻击者用各地的电脑进行攻击，他的带宽不会耗费很多钱，但对于服务器来说，带宽非常昂贵。
云服务提供商有自己的一套完整DDoS解决方案，并且能提供丰富的带宽资源

 

xss攻击（关键是脚本，利用恶意脚本发起攻击），

CSRF攻击（关键是借助本地cookie进行认证，伪造发送请求），

SQL注入（关键是通过用sql语句伪造参数发出攻击），

DDOS攻击（关键是通过手段发出大量请求，最后令服务器崩溃）