web攻击有哪些？怎么防护？
1、DoS和DDoS攻击（DoS(Denial of Service)，即拒绝服务，造成远程服务器拒绝服务的行为被称为DoS攻击。其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击）
防范：(1) 反欺骗：对数据包的地址及端口的正确性进行验证，同时进行反向探测。(2) 协议栈行为模式分析：每个数据包类型需要符合RFC规定，这就好像每个数据包都要有完整规范的着装，只要不符合规范，就自动识别并将其过滤掉。(3) 特定应用防护：非法流量总是有一些特定特征的，这就好比即便你混进了顾客群中，但你的行为还是会暴露出你的动机，比如老重复问店员同一个问题，老做同样的动作，这样你仍然还是会被发现的。(4) 带宽控制：真实的访问数据过大时，可以限制其最大输出的流量，以减少下游网络系统的压力。
2、CSRF(Cross Site Request Forgery)，即跨站请求伪造，是一种常见的Web攻击，但很多开发者对它很陌生。CSRF也是Web安全中最容易被忽略的一种攻击。
防范：(1) 验证码。应用程序和用户进行交互过程中，特别是账户交易这种核心步骤，强制用户输入验证码，才能完成最终请求。在通常情况下，验证码够很好地遏制CSRF攻击。但增加验证码降低了用户的体验，网站不能给所有的操作都加上验证码。所以只能将验证码作为一种辅助手段，在关键业务点设置验证码。(2) Referer Check。HTTP Referer是header的一部分，当浏览器向web服务器发送请求时，一般会带上Referer信息告诉服务器是从哪个页面链接过来的，服务器籍此可以获得一些信息用于处理。可以通过检查请求的来源来防御CSRF攻击。正常请求的referer具有一定规律，如在提交表单的referer必定是在该页面发起的请求。所以通过检查http包头referer的值是不是这个页面，来判断是不是CSRF攻击。但在某些情况下如从https跳转到http，浏览器处于安全考虑，不会发送referer，服务器就无法进行check了。若与该网站同域的其他网站有XSS漏洞，那么攻击者可以在其他网站注入恶意脚本，受害者进入了此类同域的网址，也会遭受攻击。出于以上原因，无法完全依赖Referer Check作为防御CSRF的主要手段。但是可以通过Referer Check来监控CSRF攻击的发生。(3) Anti CSRF Token。目前比较完善的解决方案是加入Anti-CSRF-Token，即发送请求时在HTTP 请求中以参数的形式加入一个随机产生的token，并在服务器建立一个拦截器来验证这个token。服务器读取浏览器当前域cookie中这个token值，会进行校验该请求当中的token和cookie当中的token值是否都存在且相等，才认为这是合法的请求。否则认为这次请求是违法的，拒绝该次服务。这种方法相比Referer检查要安全很多，token可以在用户登陆后产生并放于session或cookie中，然后在每次请求时服务器把token从session或cookie中拿出，与本次请求中的token 进行比对。由于token的存在，攻击者无法再构造出一个完整的URL实施CSRF攻击。但在处理多个页面共存问题时，当某个页面消耗掉token后，其他页面的表单保存的还是被消耗掉的那个token，其他页面的表单提交时会出现token错误。
3、XSS(Cross Site Scripting)，跨站脚本攻击。为和层叠样式表(Cascading Style Sheets，CSS)区分开，跨站脚本在安全领域叫做“XSS”。
防范：(1) 输入过滤。永远不要相信用户的输入，对用户输入的数据做一定的过滤。如输入的数据是否符合预期的格式，比如日期格式，Email格式，电话号码格式等等。这样可以初步对XSS漏洞进行防御。上面的措施只在web端做了限制，攻击者通抓包工具如Fiddler还是可以绕过前端输入的限制，修改请求注入攻击脚本。因此，后台服务器需要在接收到用户输入的数据后，对特殊危险字符进行过滤或者转义处理，然后再存储到数据库中。(2) 输出编码。服务器端输出到浏览器的数据，可以使用系统的安全函数来进行编码或转义来防范XSS攻击。在PHP中，有htmlentities()和htmlspecialchars()两个函数可以满足安全要求。相应的JavaScript的编码方式可以使用JavascriptEncode。(3) 安全编码。开发需尽量避免Web客户端文档重写、重定向或其他敏感操作，同时要避免使用客户端数据，这些操作需尽量在服务器端使用动态页面来实现。(4) HttpOnly Cookie。预防XSS攻击窃取用户cookie最有效的防御手段。Web应用程序在设置cookie时，将其属性设为HttpOnly，就可以避免该网页的cookie被客户端恶意JavaScript窃取，保护用户cookie信息。(5)WAF(Web Application Firewall)，Web应用防火墙，主要的功能是防范诸如网页木马、XSS以及CSRF等常见的Web漏洞攻击。由第三方公司开发，在企业环境中深受欢迎。
4、SQL注入(SQL Injection)，应用程序在向后台数据库传递SQL(Structured Query Language，结构化查询语言)时，攻击者将SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
防范：(1) 防止系统敏感信息泄露。设置php.ini选项display_errors=off，防止php脚本出错之后，在web页面输出敏感信息错误，让攻击者有机可乘。(2) 数据转义。设置php.ini选项magic_quotes_gpc=on，它会将提交的变量中所有的’(单引号)，”(双引号)，\(反斜杠)，空白字符等都在前面自动加上\。或者采用mysql_real_escape()函数或addslashes()函数进行输入参数的转义。(3) 增加黑名单或者白名单验证。白名单验证一般指，检查用户输入是否是符合预期的类型、长度、数值范围或者其他格式标准。黑名单验证是指，若在用户输入中，包含明显的恶意内容则拒绝该条用户请求。在使用白名单验证时，一般会配合黑名单验证。
5、上传漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。该漏洞允许用户上传任意文件可能会让攻击者注入危险内容或恶意代码，并在服务器上运行。
防范： (1)检查服务器是否判断了上传文件类型及后缀。 (2) 定义上传文件类型白名单，即只允许白名单里面类型的文件上传。 (3) 文件上传目录禁止执行脚本解析，避免攻击者进行二次攻击。 Info漏洞 Info漏洞就是CGI把输入的参数原样输出到页面，攻击者通过修改输入参数而达到欺骗用户的目的。
常见的网站遭攻击方式有哪些
一、网站攻击第一种：破坏数据攻击 这种攻击可能会对造成较大的影响，甚至可能让网站所有者蒙受较大的损失，也是非常卑鄙的一种手段，同时也属于一种网络违法行为。以前的一些大型网站发生的用户名和密码被盗取，很可能就是由于这种攻击所致。比较常见的SQL注入就属于这种攻击，专门破坏和攻击数据服务器。有的会把网站上的网页替换掉，还有的会修改网站上的网页，给网站带来很大的困扰。
二、网站攻击第二种：挂马或挂黑链 这种攻击危害程度不是很大，但也不容忽视，一旦你的网站被挂上木马和黑链接，你的网站在打开时将很不正常，不是网页内容被修改，就是网页连带打开很多窗口等，这样的网站都属于被攻击所致。搜索引擎一旦检测数你的网站被挂马，就可能给你的网站降权性惩罚，严重的甚至被K掉。
三、网站攻击第三种：网络流量 这种攻击就是我们常听说的CC攻击，有两种像是的流量攻击，即带宽攻击和应用攻击，我们平时所将的流量攻击通常指的是带宽攻击，这是攻击网站的一个最常见的手段之一。这种攻击手段一般是采用大量数据包淹没一个或多个路由器、服务器和防火墙，网络带宽几乎被占用殆尽，使你的网站无法访问，处于瘫痪状态无法正常打开。
四、解决办法
购买网站安全增值服务产品，这样也可抵御大规模的攻击，比如高防CDN可以很好的解决网站被攻击的问题，还可以加快网站的访问速度。最主要的是可以隐藏源服务器IP，从而让攻击者无从下手
如何防止网站被黑客攻击？
有时候我们经常会碰到网站打不开，然后就接到黑客的勒索电话，这时候就说明你的网站可能被黑客攻击了，所以说网站安全很重要，没如果网站安全系数不高的话，轻的话可能使网站打不开，重的话因为网站打不开间接导致公司经济损失。所以在建设网站的时候应该要考虑网站的安全性。下面是五点网站安全措施防止网站被黑客攻击。
1.空间的安全性
一个网站空间的好坏是一个网站能否运行正常的基础，所以选择一家稳定的空间服务商是很重要的。空间好的网站被黑客攻击的难度也会加大。
2.网站程序编写及数据库应用
黑客攻击网站的方式基本都是通过注入SQL数据库、网站内容编辑器的漏洞以及上传漏洞等方式从而对网站进行攻击和挟持。所以在建设网站的时候，一定要采用W3C标准的网站制作方式制作网站。还有一般网站在建设当中都会预留一些端口为以后在建设，然后这种端口往往会被利用，所以在预留端口时要将程序暂时封锁起来。以及网站程序文件要设定必要的权限，如写入权限等。
3.登录页面需加密
有的网站需要注册登录，在登录后页面如果没有采取加密措施的话很可能被黑客攻击伪造一个登录表单来窃取用户资料，正确的做法就是对数据库加密和MD5加密。所以对登录页面必须采取加密行为。
4.必须连接安全有保障的网络
我们在连接网络的时候最好要确保这个网络是安全的，而不是那种未知网络，因为。如果在连接到一个安全没有保障的网络站点时，还必须要访问Web站点或Web服务器，使用一个安全代理能够避免网站安全问题的产生。反正在使用安全代理后，就能够依靠一个有安全保障的网络代理来实现安全资源的连接。
5.使用强健的、跨平台的兼容性加密
时代在进步，网络技术也在不断的更新换代，之前的SSL技术早已经成为Web网站加密的过去式，取而代之的是TLS(传输层安全)。相对于一个网站后端的管理来说，我们常常使用的微软的Windows远程桌面等较弱的加密工具也早就满足网站安全的需要，这是换个方式我们可以考虑使用HSS这类跨平台的强加密方案，这种方式具有更大的优越性。
作为一个网站的建设者，在网站建设过程当中对以上的问题都要到，还有就是网络技术在不断的更新，需要网站安全员不断的学习与进步从而来解决网站所面临各种安全问
ddos大量post请求
1、 HTTP floods
该攻击类型分为HTTP GET request floods和HTTP POST request floods两种形式，第一种攻击者通过构造HTTP GET请求报文，向目标服务器发送针对特定资源的大量请求；一条HTTP请求的成本很低，但是目标服务器做出对应的响应成本却可能很高。第二种，POST请求往往需要携带表单参数或请求体信息，发送POST请求一般仅需较小的计算与带宽成本，而服务端进行处理操作的过程往往消耗更高。
2、Large Payload POST requests
一般通过POST方法发送容量大、结构复杂的请求体到目标服务器，使得目标服务器在解析这些请求内容的过程发生过载(CPU或内存)；攻击者通过构造特定的序列化请求体，如xml、json等，在服务端执行反序列化操作时引起服务过载。
3、Asymmetric requests
利用的是请求与响应的非对称性进行攻击，请求的目标路径会执行高消耗操作而发起攻击请求轻而易举。通常来说，这类攻击需要对目标服务有一定的熟悉与了解，明确攻击目标哪些地方存在这种非对称性利用的可能及利用方式。
4、 LowSlow attack(Slowloris/Slow Post/Read attack)
这种类型的攻击更多是面向连接层面，以基于线程的Web服务器为目标，通过慢速请求来捆绑每个服务器线程，从而消耗服务器的线程连接资源，这类攻击中主要可分为Slowloris、Slow Post/Read 几种攻击方式。
网站防盗链怎么解决？
盗链网站无法下载，报盗链的问题。
要下载这类文件最简单的方法就是改referer。
比方flashget中，网址下面的"引用"一栏中，直接填写下载地址就可以了。
防盗链原理:
http标准协议中有专门的字段记录referer，
一来可以追溯上一个入站地址是什么，二来对于资源文件，可以跟踪到包含显示他的网页地址是什么。
因此所有防盗链方法都是基于这个Referer字段，网上比较多的2种，一种是使用apache文件FileMatch限制，在httpd.conf中增加 ( 其实也可以将把下面的语句存成一个.htaccess文件)，并放到你的网站的根目录(就是www/html目录)，这样子别人就没有办法盗连你的东东了。
etEnvIfNoCase Referer "" local_ref=1，Order Allow,Deny，Allow from env=local_ref，allow from 127.0.0.1 。
这种很方便禁止非允许访问URL引用各种资源文件。
请大家注意，把第一句" "改为你的网站，比如我的网站是: 。
安全漏洞XSS、CSRF、SQL注入以及DDOS攻击
随着互联网的普及，网络安全变得越来越重要，程序员需要掌握最基本的web安全防范，下面列举一些常见的安全漏洞和对应的防御措施。
0x01: XSS漏洞
1、XSS简介
跨站脚本（cross site script）简称为XSS，是一种经常出现在web应用中的计算机安全漏洞，也是web中最主流的攻击方式。
XSS是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页面中去，使别的用户访问都会执行相应的嵌入代码。
2、XSS攻击的危害
3、防止XSS解决方案
0x02：CSRF攻击（跨站点请求伪造 ）
1、CSRF简介
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
XSS主要是利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求，来利用受信任的网站。与XSS攻击相比，CSRF更具危险性。
2、CSRF攻击的危害
主要的危害来自于，攻击者盗用用户身份，发送恶意请求。比如：模拟用户发送邮件，发消息，以及支付、转账等。
3、防止CSRF的解决方案
0x03：SQL注入漏洞
1、简介
SQL注入是比较常见的网络攻击方式之一，主要是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，实现无帐号登录，甚至篡改数据库。
2、SQL注入的危害
3、SQL注入的方式
通常情况下，SQL注入的位置包括：
4、防止SQL注入的解决方案
0x04：DDOS攻击
1、DOS攻击和DDOS简称
2、DDOS的危害
3、如何防御DDOS攻击
总之就是既要做好过滤与编码并使用参数化语句，也要把重要的信息进行加密处理，这样SQL注入漏洞才能更好的解决。
0条大神的评论