一、攻擊手段

主動攻擊： 直接向應用服務器發(fā)起攻擊，傳入代碼，比如OS注入、SQL注入。 被動攻擊：誘導客戶操作，向服務器發(fā)送植入非法代碼的請求，比如CSRF、XSS。 主動與否的判斷依據(jù)：攻擊的直接發(fā)起者是普通用戶還是攻擊者。

JS注入 解決方法：HTML編碼 如：<%=Html.Encode(feedback.Message)%> HTML5引入的新標簽包括、、、

、等等，而這些標簽又有一些有趣的屬性，例如poster、autofocus、onerror、formaction、oninput，這些屬性都可以用來執(zhí)行javascript。這會導致XSS和CSRF跨域請求偽造。

1.SQL注入

非法修改SQL語句。

2.OS命令注入攻擊

通過web應用調(diào)用操作系統(tǒng)命令，通過shell命令可以調(diào)用操作系統(tǒng)的其它程序，只要有能夠調(diào)用shell函數(shù)的地方就有被攻擊的風險。

3.HTTP首部注入

在響應首部加入換行符（HTTP換行符：%0D%0A），設置cookie信息，假冒用戶。 （1）HTTP響應截斷攻擊：需要插入兩個HTTP換行符，然后并排插入字符串發(fā)送，插入的字符串是偽造的響應主體（網(wǎng)頁內(nèi)容）?？梢赃_到和跨站腳本攻擊相同的效果。

4.郵件首部注入

向郵件首部To/Subject任意添加非法內(nèi)容，可以對任意郵件發(fā)送廣告郵件或者病毒郵件。

5.目錄遍歷攻擊（directory traversal）

非法訪問服務器其它文件路徑，比如/etc/passed。

6.XSS（跨站腳本攻擊，cross-site script）

（1）表單 在URL添加JavaScript代碼，獲取用戶表單信息，并且提交到攻擊者的服務器。 （2）cookie 保護cookie：httponly——服務端設置Set-Cookie: user=t=bfabf0b1c1133a822; path=/; HttpOnly （3）顯示偽造的圖片、文章 xss防范：

方法一：

阻止 JavaScript 注入攻擊的一種簡單方法是重新在視圖中顯示數(shù)據(jù)時，用 HTML 編碼任何網(wǎng)站用戶輸入的數(shù)據(jù) 如：<%=Html.Encode(feedback.Message)%> 使用 HTML 編碼一個字符串的含意是什么呢？使用 HTML 編碼字符串時，危險字符如 < 和 > 被替換為 HTML 實體，如 < 和 >。所以，當使用 HTML 編碼字符串 。瀏覽器在解析編碼的字符串時不再執(zhí)行 JavaScript 腳本。而是顯示無害的頁面。 方法二：

除了在視圖中顯示數(shù)據(jù)時使用 HTML 編碼數(shù)據(jù)，還可以在將數(shù)據(jù)提交到數(shù)據(jù)庫之前使用 HTML 編碼數(shù)據(jù)。 StringEscapeUtils.escapeHtml（“前臺提交的數(shù)據(jù)”);

通常，人們喜歡使用本教程中討論的第一種方法，而不喜歡使用第二種方法。第二種方法的問題在于在數(shù)據(jù)庫中最終會保留 HTML 編碼的數(shù)據(jù)。換言之，數(shù)據(jù)庫中的數(shù)據(jù)會包含奇怪的字符。這有什么壞處呢？如果需要用除網(wǎng)頁以外的形式顯示數(shù)據(jù)庫數(shù)據(jù)，則將遇到問題。例如，不能輕易在 Windows Forms 應用程序中顯示數(shù)據(jù)。

7.會話固定攻擊（session fixation）

訪問登錄頁面，利用服務器返回的URL誘導用戶前去認證，再用用戶的會話ID去登錄網(wǎng)站。

8.CSRF（跨站點請求偽造，cross-site request forgeries）

利用已經(jīng)認證的用戶，向應用服務器發(fā)送請求，完成相應操作，比如發(fā)表言論，購買。 1、驗證HTTP Referer字段

在HTTP頭中有Referer字段，他記錄該HTTP請求的來源地址，如果跳轉(zhuǎn)的網(wǎng)站與來源地址相符，那就是合法的，如果不符則可能是csrf攻擊，拒絕該請求 2、在請求地址中添加token并驗證

這種的話在請求的時候加一個token，值可以是隨機產(chǎn)生的一段數(shù)字， token是存入數(shù)據(jù)庫之后，后臺返給客戶端的，如果客戶端再次登錄的時候， 后臺發(fā)現(xiàn)token沒有，或者通過查詢數(shù)據(jù)庫不正確，那么就拒絕該請求

如果想防止一個賬號避免在不同的機器上登錄，那么我們就可以通過token來判斷， 如果a機器登錄后，我們就將用戶的token從數(shù)據(jù)庫清除，從新生成， 那么另外一臺b機器在執(zhí)行操作的時候，token就失效了，只能重新登錄，這樣就可以防止兩臺機器登同一賬號 3、在HTTP頭中自定義屬性并驗證

如果說通過每次請求的時候都得加token那么各個接口都得加很麻煩， 那么我們通過http的請求頭來設置token 例如： $.ajax({ url: ‘/v1/api’, dataType: ‘json’, data: param, type:‘post’, headers: {‘Accept’:‘a(chǎn)pplication/json’,‘Authorization’:tokenValue} success:function(res){ console.log(res) } })

二、其它安全隱患

1.不能訪問沒有權限的文本內(nèi)容，卻能夠訪問圖片資源 2.不恰當?shù)腻e誤信息拋出

• 數(shù)據(jù)庫管理系統(tǒng)拋出的錯誤
• 后臺應用拋出的程序錯誤
• 前端校驗錯誤信息提示

3.開放重定向 4.密碼破解

• 密碼試錯 窮舉法 建立字典
• 對加密的密碼進行破解 密碼加密：密碼+salt –> md5（散列函數(shù)）–> 保存散列值 破解方法：
  • 窮舉法、字典 調(diào)用相同散列函數(shù)處理候選密碼得到散列值，與目標散列值比對。
  • 彩虹表 明文和散列值構成的數(shù)據(jù)庫表。能夠提高效率。類似字典攻擊。
  • 拿到密鑰
  • 利用加密算法的漏洞
• 點擊劫持（clickjacking） 又稱界面?zhèn)窝b，誘導客戶點擊存在陷阱的按鈕或者鏈接。在合法頁面上設置透明的iframe頁面。
• DoS攻擊（denial of service attack） 又稱拒絕服務攻擊。 集中發(fā)送合法請求，消耗服務器資源。 DDoS攻擊（distributed denial of service attack）：多臺計算機發(fā)送的DoS攻擊。一般利用已經(jīng)中毒的計算機作為工具發(fā)送DoS。
• 網(wǎng)站劫持? 使用 https

• 后門程序 分類： 開發(fā)階段作為debug調(diào)用的后門程序 開發(fā)者為了自身利益植入的后門程序 攻擊者設置的后門程序