了解XSS攻击、SQL注入、CSRF攻击、DDOS攻击、DNS劫持网络攻击方式

讲解常见网络攻击方式：XSS攻击、SQL注入、CSRF攻击、DDOS攻击、DNS劫持。

XSS

XSS攻击者修改网页并注入恶意HTML脚本，通常是♿♿♿‸♓‸这是一种控制用户的攻击浏览器，当用户浏览互联网时执行恶意操作。方法

XSS攻击经常用于论坛、博客和其他应用程序。攻击者可以窃取用户的cookies、密码等重要数据，然后伪造交易，窃取用户财产、窃取情报等个人信息

• 就像上图，如果用户在其中写入其他内容评论字段这不是普通文本，而是javascript 脚本。用户的数据不在后台处理，直接存储在数据库中。那么当其他用户访问该页面时，浏览器必然会执行这一段。脚本
• 当然，这只是一种恶趣味，真正的黑客不仅仅满足这种恶趣味，他们应该使用这些脚本来获取您的个人信息。甚至账号的密码等信息

• 上图可以看到，用户在评论的时候实际上引入了一个第三方脚本，其中获取了他浏览器的信息cookie并发送到指定接口进行存储和处理，这样你的数据就被泄露了

// attack.js 中的逻辑
var uname = $.cookie('username'); // 获取账号
var pwd = $.cookie('password'); // 获取密码

// 发送请求
$('body').appendTo('');

• 按照上面的逻辑，脚本会获取你的个人数据，并将你的个人数据发送到后端php 处理并保存文件，所以你的个人数据被泄露，所以杜绝xss攻击对于网络安全非常重要
• 所以后端永远不应该信任用户提交的数据。在接收用户提交的信息时，需要进行过滤
• ，即过滤某些特殊字符，例如♿♿♓♓

• 中的javascript

# 正常获取用户信息的sql
select * from users where id=1

# sql注入了 1 or 1=1，就可以把用户表中的所有数据全部查出，导致数据泄露
select * from users where id=1 or 1=1

有效恢复防止 xss 攻击

另外，如果 cookie 不包含

属性，则 A js 脚本将无法读取cookie信息，还可以有效防止XSS

攻击和❙

内容

SQL注入

• SQL注入 攻击表示攻击者将恶意的SQL命令注入字段，并使用服务器生成请求HTTP❀请求。 SQL 命令 目前，恶意SQL在数据库中创建并一起执行，以获取数据库中感兴趣的数据或执行读取、修改、删除等敏感操作插入到数据库中，从而根据需要对数据进行操作
• 但是，SQL注入攻击需要攻击者对数据库表进行一些操作理解这一点很重要。例如，如果项目开源不小心泄露了数据库帐户和密码；此外，如果不关闭调试模式，您的网站将无法上线。有兴趣的话可以到网站上查看一下错误信息。 echo 可以弄清楚表的结构；另外，还有盲注入，就是很多有兴趣的人会盲目猜测数据表的结构，但这才是最难的
• SQL注入正向编译预防，绑定参数是防止它的最佳方法 将被视为 SQL 的参数，而不是执行的 SQL 命令 CSRFCS 全名 跨站请求伪造 跨站请求伪造，攻击者利用跨站请求以合法用户的身份进行非法操作，例如转账交易、发表评论等。重点是利用浏览器的Cookie或服务器的Session策略窃取用户的身份数据并打开恶意网站B。目前，浏览器对网站TP'请求
• 下的页面B恶意意图，因为一个网站是之前已经打开并在浏览器中网站Cookie、用于身份验证，或带有其他信息恶意自动带入此信息，从而导致身份盗用，这样的操作就会产生结果用户无意的
• CSRF攻击对应的防御策略为：表单令牌、验证码、链接器检测等待

DDOS 全名分布式拒绝服务攻击

。这是拒绝服务攻击的改进版本。拒绝服务攻击实际上是为了阻止某个服务照常向用户提供服务而设计的。 DDOS 全名分布式拒绝服务攻击。这是拒绝服务攻击的改进版本。拒绝服务攻击实际上是为了阻止某个服务向用户提供正常服务而设计的。你只需要编写一个程序来使服务过载，而没有时间提供正常的服务。仅此而已，就是一秒请求多个服务，运行目标服务器的内存

后来随着技术的发展，现在的服务器都是分布式的，没有一台服务器提供服务。一项服务的背后有无数的CDN节点和无数的Web服务器。依靠单台服务器来攻击这种分布式网络就像以卵击石，而且现在很多DDOS攻击都不是免费的。偷鸡容易，丢鸡容易。

防护方法：随着技术的发展，目前还无法完全杜绝此类攻击的发生，只能通过技术来缓解。它们是：流量清理、SYN Cookie以及更多TTPS主要是Web服务产生的流量网络服务 是高品质的一部分域名解析系统正在开发中，背后有一个未知的贡献者。 DNS提供将域名转换为IP地址的服务。每个域名的解析都要经过DNS，所以你可以看出它的重要性

正是因为它的重要性所以才会变成这样DNA劫持容容易被别有用心的人利用而且早期他们并没有保持很高的安全性，所以很容易劫持DNSDNS解析设置，将域名更改为正常的♽ ❗非法攻击者控制的IP导致可以访问域名，但无法访问对应的网站。虚假或别有用心的网站。这种攻击方式就是DNA劫持

，如果攻击者篡改了DNA解析设置，域名就会从正常的❓变成非法的❓❀定向。 IP被攻击者控制。 ，然后我们到达了域名，但它没有打开正确的网站，而是一个假冒或恶意的网站。这种攻击方式就是DNA劫持

，如果攻击者篡改了DNA解析设置，域名就会从正常的❓重定向到非法的❓。 IP被攻击者控制。 ，然后我们到达了域名，但它没有打开正确的网站，而是一个假冒或恶意的网站。这种攻击方式就是DNS劫持

也可以安装SSL证书。 SSL证书具有服务器身份认证功能，可以及时发现并排除DNS劫持造成的连接错误

作者：网络安全队长来源：知乎