搜索

[21959] 2021-05-11_10常见网站安全攻击手段及防御方法

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-05-11_10常见网站安全攻击手段及防御方法 1 0   常 见 网 站 安 全   攻 击 手 段 及 防 御 方 法 L e m o n S e c   2 0 2 1 - 0 5 - 1 1 转 自 ： 数 世 咨 询 在 某 种 程 度 上 ， 互 联 网 上 的 每 个 网 站 都 容 易 遭 受 安 全 攻 击 。 从 人 为 失 误 到 网 络 罪 犯 团 伙 发 起 的 复 杂 攻 击 均 在 威 胁 范 围 之 内 。 网 络 攻 击 者 最 主 要 的 动 机 是 求 财 。 无 论 你 运 营 的 是 电 子 商 务 项 目 还 是 简 单 的 小 型 商 业 网 站 ， 潜 在 攻 击 的 风 险 就 在 那 里 。 知 己 知 彼 百 战 不 殆 ， 当 今 网 络 时 代 ， 了 解 自 己 面 对 着 何 种 威 胁 比 以 往 任 何 时 候 都 来 得 更 为 重 要 。 每 种 恶 意 攻 击 都 有 自 己 的 特 性 ， 不 同 类 型 的 攻 击 那 么 多 ， 似 乎 不 太 可 能 全 方 位 无 死 角 抵 御 全 部 攻 击 。 但 我 们 仍 然 可 以 做 许 多 工 作 来 保 护 网 站 ， 缓 解 恶 意 黑 客 对 网 站 造 成 的 风 险 。 不 妨 先 从 仔 细 审 视 互 联 网 上 最 常 见 的 1 0 种 网 络 攻 击 开 始 ， 看 看 能 够 采 取 哪 些 办 法 来 保 护 你 的 网 站 。 ▶ ▶   1 0 种 常 见 网 站 安 全 攻 击 种 常 见 网 站 安 全 攻 击 1 .   跨 站 脚 本 （ 跨 站 脚 本 （ X S S ） ） P r e c i s e   S e c u r i t y 近 期 的 一 项 研 究 表 明 ， 跨 站 脚 本 攻 击 大 约 占 据 了 所 有 攻 击 的 4 0 % ， 是 最 为 常 见 的 一 类 网 络 攻 击 。 但 尽 管 最 为 常 见 ， 大 部 分 跨 站 脚 本 攻 击 却 不 是 特 别 高 端 ， 多 为 业 余 网 络 罪 犯 使 用 别 人 编 写 的 脚 本 发 起 的 。 跨 站 脚 本 针 对 的 是 网 站 的 用 户 ， 而 不 是 W e b 应 用 本 身 。 恶 意 黑 客 在 有 漏 洞 的 网 站 里 注 入 一 段 代 码 ， 然 后 网 站 访 客 执 行 这 段 代 码 。 此 类 代 码 可 以 入 侵 用 户 账 户 ， 激 活 木 马 程 序 ， 或 者 修 改 网 站 内 容 ， 诱 骗 用 户 给 出 私 人 信 息 。 设 置 W e b 应 用 防 火 墙 （ W A F ） 可 以 保 护 网 站 不 受 跨 站 脚 本 攻 击 危 害 。 W A F 就 像 个 过 滤 器 ， 能 够 识 别 并 阻 止 对 网 站 的 恶 意 请 求 。 购 买 网 站 托 管 服 务 的 时 候 ， W e b 托 管 公 司 通 常 已 经 为 你 的 网 站 部 署 了 W A F ， 但 你 自 己 仍 然 可 以 再 设 一 个 。 2 .   注 入 攻 击 注 入 攻 击 开 放 W e b 应 用 安 全 项 目 （ O W A S P ） 新 出 炉 的 十 大 应 用 安 全 风 险 研 究 中 ， 注 入 漏 洞 被 列 为 网 站 最 高 风 险 因 素 。 S Q L 注 入 方 法 是 网 络 罪 犯 最 常 用 的 注 入 手 法 。 注 入 攻 击 方 法 直 接 针 对 网 站 和 服 务 器 的 数 据 库 。 执 行 时 ， 攻 击 者 注 入 一 段 能 够 揭 示 隐 藏 数 据 和 用 户 输 入 的 代 码 ， 获 得 数 据 修 改 权 限 ， 全 面 俘 获 应 用 。 保 护 网 站 不 受 注 入 攻 击 危 害 ， 主 要 落 实 到 代 码 库 构 建 上 。 比 如 说 ， 缓 解 S Q L 注 入 风 险 的 首 选 方 法 就 是 始 终 尽 量 采 用 参 数 化 语 句 。 更 进 一 步 ， 可 以 考 虑 使 用 第 三 方 身 份 验 证 工 作 流 来 外 包 你 的 数 据 库 防 护 。 3 .   模 糊 测 试 模 糊 测 试 开 发 人 员 使 用 模 糊 测 试 来 查 找 软 件 、 操 作 系 统 或 网 络 中 的 编 程 错 误 和 安 全 漏 洞 。 然 而 ， 攻 击 者 可 以 使 用 同 样 的 技 术 来 寻 找 你 网 站 或 服 务 器 上 的 漏 洞 。 采 用 模 糊 测 试 方 法 ， 攻 击 者 首 先 向 应 用 输 入 大 量 随 机 数 据 （ 模 糊 ） 让 应 用 崩 溃 。 下 一 步 就 是 用 模 糊 测 试 工 具 发 现 应 用 的 弱 点 。 如 果 目 标 应 用 中 存 在 漏 洞 ， 攻 击 者 即 可 展 开 进 一 步 漏 洞 利 用 。 对 抗 模 糊 攻 击 的 最 佳 方 法 就 是 保 持 更 新 安 全 设 置 和 其 他 应 用 ， 尤 其 是 在 安 全 补 丁 发 布 后 不 更 新 就 会 遭 遇 恶 意 黑 客 利 用 漏 洞 的 情 况 下 。 4 .   零 日 攻 击 零 日 攻 击 零 日 攻 击 是 模 糊 攻 击 的 扩 展 ， 但 不 要 求 识 别 漏 洞 本 身 。 此 类 攻 击 最 近 的 案 例 是 谷 歌 发 现 的 ， 他 们 在 W i n d o w s 和 C h r o m e 软 件
中 发 现 了 潜 在 的 零 日 攻 击 。 在 两 种 情 况 下 ， 恶 意 黑 客 能 够 从 零 日 攻 击 中 获 利 。 第 一 种 情 况 是 ， 如 果 能 够 获 得 关 于 即 将 到 来 的 安 全 更 新 的 信 息 ， 攻 击 者 就 可 以 在 更 新 上 线 前 分 析 出 漏 洞 的 位 置 。 第 二 种 情 况 是 ， 网 络 罪 犯 获 取 补 丁 信 息 ， 然 后 攻 击 尚 未 更 新 系 统 的 用 户 。 这 两 种 情 况 下 ， 系 统 安 全 都 会 遭 到 破 坏 ， 至 于 后 续 影 响 程 度 ， 就 取 决 于 黑 客 的 技 术 了 。 保 护 自 己 和 自 身 网 站 不 受 零 日 攻 击 影 响 最 简 便 的 方 法 ， 就 是 在 新 版 本 发 布 后 及 时 更 新 你 的 软 件 。 5 .   路 径 （ 目 录 ） 遍 历 路 径 （ 目 录 ） 遍 历 路 径 遍 历 攻 击 不 像 上 述 几 种 攻 击 方 法 那 么 常 见 ， 但 仍 然 是 任 何 W e b 应 用 的 一 大 威 胁 。 路 径 遍 历 攻 击 针 对 W e b   r o o t 文 件 夹 ， 访 问 目 标 文 件 夹 外 部 的 未 授 权 文 件 或 目 录 。 攻 击 者 试 图 将 移 动 模 式 注 入 服 务 器 目 录 ， 以 便 向 上 爬 升 。 成 功 的 路 径 遍 历 攻 击 能 够 获 得 网 站 访 问 权 ， 染 指 配 置 文 件 、 数 据 库 和 同 一 实 体 服 务 器 上 的 其 他 网 站 和 文 件 。 网 站 能 否 抵 御 路 径 遍 历 攻 击 取 决 于 你 的 输 入 净 化 程 度 。 这 意 味 着 保 证 用 户 输 入 安 全 ， 并 且 不 能 从 你 的 服 务 器 恢 复 出 用 户 输 入 内 容 。 最 直 观 的 建 议 就 是 打 造 你 的 代 码 库 ， 这 样 用 户 的 任 何 信 息 都 不 会 传 输 到 文 件 系 统 A P I 。 即 使 这 条 路 走 不 通 ， 也 有 其 他 技 术 解 决 方 案 可 用 。 6 .   分 布 式 拒 绝 服 务 （ 分 布 式 拒 绝 服 务 （ D D o S ） ） D D o S 攻 击 本 身 不 能 使 恶 意 黑 客 突 破 安 全 措 施 ， 但 会 令 网 站 暂 时 或 永 久 掉 线 。 卡 巴 斯 基 实 验 室 《 2 0 1 7 年 I T 安 全 风 险 调 查 》 指 出 ， 单 次 D D o S 攻 击 可 令 小 企 业 平 均 损 失 1 2 . 3 万 美 元 ， 大 型 企 业 的 损 失 水 平 在 2 3 0 万 美 元 左 右 。 D D o S 旨 在 用 请 求 洪 水 压 垮 目 标 W e b 服 务 器 ， 让 其 他 访 客 无 法 访 问 网 站 。 僵 尸 网 络 通 常 能 够 利 用 之 前 感 染 的 计 算 机 从 全 球 各 地 协 同 发 送 大 量 请 求 。 而 且 ， D D o S 攻 击 常 与 其 他 攻 击 方 法 搭 配 使 用 ； 攻 击 者 利 用 D D o S 攻 击 吸 引 安 全 系 统 火 力 ， 从 而 暗 中 利 用 漏 洞 入 侵 系 统 。 保 护 网 站 免 遭 D D o S 攻 击 侵 害 一 般 要 从 几 个 方 面 着 手 。 首 先 ， 需 通 过 内 容 分 发 网 络 （ C D N ） 、 负 载 均 衡 器 和 可 扩 展 资 源 缓 解 高 峰 流 量 。 其 次 ， 需 部 署 W e b 应 用 防 火 墙 （ W A F ） ， 防 止 D D o S 攻 击 隐 蔽 注 入 攻 击 或 跨 站 脚 本 等 其 他 网 络 攻 击 方 法 。 7 .   中 间 人 攻 击 中 间 人 攻 击 中 间 人 攻 击 常 见 于 用 户 与 服 务 器 间 传 输 数 据 不 加 密 的 网 站 。 作 为 用 户 ， 只 要 看 看 网 站 的 U R L 是 不 是 以 H T T P S 开 头 就 能 发 现 这 一 潜 在 风 险 了 ， 因 为 H T T P S 中 的 “ S ” 指 的 就 是 数 据 是 加 密 的 ， 缺 了 “ S ” 就 是 未 加 密 。 攻 击 者 利 用 中 间 人 类 型 的 攻 击 收 集 信 息 ， 通 常 是 敏 感 信 息 。 数 据 在 双 方 之 间 传 输 时 可 能 遭 到 恶 意 黑 客 拦 截 ， 如 果 数 据 未 加 密 ， 攻 击 者 就 能 轻 易 读 取 个 人 信 息 、 登 录 信 息 或 其 他 敏 感 信 息 。 在 网 站 上 安 装 安 全 套 接 字 层 （ S S L ） 就 能 缓 解 中 间 人 攻 击 风 险 。 S S L 证 书 加 密 各 方 间 传 输 的 信 息 ， 攻 击 者 即 使 拦 截 到 了 也 无 法 轻 易 破 解 。 现 代 托 管 提 供 商 通 常 已 经 在 托 管 服 务 包 中 配 置 了 S S L 证 书 。 8 .   暴 力 破 解 攻 击 暴 力 破 解 攻 击 暴 力 破 解 攻 击 是 获 取 W e b 应 用 登 录 信 息 相 当 直 接 的 一 种 方 式 。 但 同 时 也 是 非 常 容 易 缓 解 的 攻 击 方 式 之 一 ， 尤 其 是 从 用 户 侧 加 以 缓 解 最 为 方 便 。 暴 力 破 解 攻 击 中 ， 攻 击 者 试 图 猜 解 用 户 名 和 密 码 对 ， 以 便 登 录 用 户 账 户 。 当 然 ， 即 使 采 用 多 台 计 算 机 ， 除 非 密 码 相 当 简 单 且 明 显 ， 否 则 破 解 过 程 可 能 需 耗 费 几 年 时 间 。 保 护 登 录 信 息 的 最 佳 办 法 ， 是 创 建 强 密 码 ， 或 者 使 用 双 因 子 身 份 验 证 （ 2 F A ） 。 作 为 网 站 拥 有 者 ， 你 可 以 要 求 用 户 同 时 设 置 强 密 码 和 2 F A ， 以 便 缓 解 网 络 罪 犯 猜 出 密 码 的 风 险 。 9 .   使 用 未 知 代 码 或 第 三 方 代 码 使 用 未 知 代 码 或 第 三 方 代 码
尽 管 不 是 对 网 站 的 直 接 攻 击 ， 使 用 由 第 三 方 创 建 的 未 经 验 证 代 码 ， 也 可 能 导 致 严 重 的 安 全 漏 洞 。 代 码 或 应 用 的 原 始 创 建 者 可 能 会 在 代 码 中 隐 藏 恶 意 字 符 串 ， 或 者 无 意 中 留 下 后 门 。 一 旦 将 “ 受 感 染 ” 的 代 码 引 入 网 站 ， 那 你 就 会 面 临 恶 意 字 符 串 执 行 或 后 门 遭 利 用 的 风 险 。 其 后 果 可 以 从 单 纯 的 数 据 传 输 直 到 网 站 管 理 权 限 陷 落 。 想 要 避 免 围 绕 潜 在 数 据 泄 露 的 风 险 ， 请 让 你 的 开 发 人 员 分 析 并 审 计 代 码 的 有 效 性 。 此 外 ， 确 保 所 用 插 件 （ 尤 其 是 W o r d P r e s s 插 件 ） 及 时 更 新 ， 并 定 期 接 收 安 全 补 丁 ： 研 究 显 示 ， 超 过 1 . 7 万 个 W o r d P r e s s 插 件 （ 约 占 研 究 当 时 采 样 数 量 的 4 7 % ） 两 年 内 没 有 更 新 。 1 0 .   网 络 钓 鱼 网 络 钓 鱼 网 络 钓 鱼 是 另 一 种 没 有 直 接 针 对 网 站 的 攻 击 方 法 ， 但 我 们 不 能 将 它 排 除 在 名 单 之 外 ， 因 为 网 络 钓 鱼 也 会 破 坏 你 系 统 的 完 整 性 。 根 据 F B I 《 互 联 网 犯 罪 报 告 》 的 说 法 ， 其 原 因 在 于 网 络 钓 鱼 是 最 常 见 的 社 会 工 程 网 络 犯 罪 。 网 络 钓 鱼 攻 击 用 到 的 标 准 工 具 就 是 电 子 邮 件 。 攻 击 者 通 常 会 伪 装 成 其 他 人 ， 诱 骗 受 害 者 给 出 敏 感 信 息 或 执 行 银 行 转 账 。 此 类 攻 击 可 以 是 古 怪 的 4 1 9 骗 局 （ 属 于 预 付 费 欺 诈 类 骗 局 ） ， 或 者 涉 及 假 冒 电 子 邮 件 地 址 、 貌 似 真 实 的 网 站 和 极 具 说 服 力 用 语 的 高 端 攻 击 。 后 者 以 鱼 叉 式 网 络 钓 鱼 之 名 广 为 人 知 。 缓 解 网 络 钓 鱼 骗 局 风 险 最 有 效 的 办 法 ， 是 培 训 员 工 和 自 身 ， 增 强 对 此 类 欺 诈 的 辨 识 能 力 。 保 持 警 惕 ， 总 是 检 查 发 送 者 电 子 邮 件 地 址 是 否 合 法 ， 邮 件 内 容 是 否 古 怪 ， 请 求 是 否 不 合 常 理 。 另 外 ， 谨 记 ： 天 上 不 会 掉 馅 饼 ， 事 出 反 常 必 有 妖 。 结 语 结 语 针 对 网 站 的 攻 击 有 多 种 形 式 ， 攻 击 者 既 可 以 是 业 余 黑 客 ， 也 会 是 协 同 作 战 的 职 业 黑 客 团 伙 。 最 关 键 的 一 条 建 议 ， 就 是 在 创 建 或 运 营 网 站 时 不 要 跳 过 安 全 功 能 ， 因 为 跳 过 安 全 设 置 可 能 会 造 成 严 重 后 果 。 虽 然 不 可 能 完 全 消 除 网 站 攻 击 风 险 ， 但 你 至 少 可 以 缓 解 遭 攻 击 的 可 能 性 和 攻 击 后 果 的 严 重 性 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理