郑州微信网站,免费学做衣服的网站,wordpress题库插件,如何做百度推广的网站转载自 WEB攻击手段及防御#xff0d;扩展篇 之前的文章介绍了常见的XSS攻击、SQL注入、CSRF攻击等攻击方式和防御手段#xff0c;没有看的去翻看之前的文章#xff0c;这些都是针对代码或系统本身发生的攻击#xff0c;另外还有一些攻击方式发生在网络层或者潜在的攻击漏洞…转载自 WEB攻击手段及防御扩展篇 之前的文章介绍了常见的XSS攻击、SQL注入、CSRF攻击等攻击方式和防御手段没有看的去翻看之前的文章这些都是针对代码或系统本身发生的攻击另外还有一些攻击方式发生在网络层或者潜在的攻击漏洞在这里也总结一下。 DOS/DDOS攻击 DOS攻击不是说攻击DOS系统或者通过DOS系统攻击。 DOS攻击全称为Denial of service即拒绝服务其主要攻击目的是使计算机硬件或网络宽带资源耗尽从而造成服务器无法提供正常服务而DDOS攻击就是Distributed denial of service即分布式的拒绝服务攻击攻击者利用多台服务器资源对同一个目标服务器发起攻击从而使目的服务器快速陷入崩溃。 不管是DOS还是DDOS它们的本质都是通过各种手段消耗目标服务器资源从而使目标服务器瘫痪不能接受用户的服务。 一般租用像阿里云或者其他的服务器资源都是有web应用防火墙能阻止dos攻击的如果是自己的服务器需要专业的运维人员对服务器进行相关设置以防止DOS攻击。 DNS攻击 DNS攻击包括有DNS劫持和DNS污染。 DNS劫持即通过某种手段控制DNS服务器篡改域名真实的解析结果并返回攻击者的ip地址从而跳到了攻击者的页面。像我们宽带快到期了或者有什么推广信息电信总会弹出一个营销界面提示我们宽带快到期了或者什么活动的这其实就是运营商DN劫持搞的鬼。像在我们本地也经常会配置host文件以开发测试联调或者访问那些访问不了你又想访问的网址。 防止DNS劫持可以用国外知名的DNS服务器像google的8.8.8.8或者准备两个域名一个被劫持了引导用户去访问另一个。 DNS污染发生在请求DNS解析前第一步直接在协议上对DNS解析请求进行干扰因为DNS查询是基于不可靠无连接的UDP协议它是没有经过认证的很容易被篡改所以攻击者通过在UDP的53端口进行DNS查询检测并返回攻击者错误的解析结果给用户这就是DNS污染。 DNS污染可以通过自己搭建DNS服务器采用TCP加密的形式但可能延迟比较大。 错误回显 这个在SQL注入防御篇幅中有描述就是不能把数据库表及代码关键信息输出到用户浏览器这里不再详细描述。 网页注释 为了开发或联调的便利性我们经常在代码使用注释某些注释可能包括重要信息给攻击者以可乘之机所以这个最好养成良好的习惯及时删除敏感的注释或者开发完成对代码进行审视。 文件上传 一般的网站都会有文件上传功能如人才网就会有包括用户的头像、简历附件什么的如果攻击者上传一个.exe可执行程序到服务器那么这个执行程序很有可能操控这个服务器或者通过这个服务器间接攻击其他内部服务器群后果是十分严重的。 所以针对上传功能要限制用户可上传的文件类型比如头像肯定是jpg等图片格式文件最好分开存储一是能提高系统性能二是就算攻击者攻击了文件服务器也不一定能攻击到别的服务器另外存储采用重命名方式像QQ之间传送文件一般会在文件名后面加上一个.重命令后缀就是为了防止用户点击.exe文件造成病毒攻击。
