搜索

[28690] 2020-12-22_10种最常见的网站安全攻击（以及如何保护自己）

文档创建者：s7ckTeam
浏览次数：90
最后更新：2025-01-19
2020-12-22_10种最常见的网站安全攻击（以及如何保护自己） 1 0 种 最 常 见 的 网 站 安 全 攻 击 （ 以 及 如 何 保 护 自 己 ） G e r t   S v a i k o   O t s 安 全   2 0 2 0 - 1 2 - 2 2 I n t e r n e t 上 的 每 个 网 站 在 某 种 程 度 上 都 容 易 受 到 安 全 攻 击 。 威 胁 范 围 从 人 为 错 误 到 协 调 的 网 络 罪 犯 的 复 杂 攻 击 。 根 据 V e r i z o n 的 《 数 据 泄 露 调 查 报 告 》 ， 网 络 攻 击 者 的 主 要 动 机 是 财 务 。 无 论 您 是 运 行 电 子 商 务 项 目 还 是 简 单 的 小 型 企 业 网 站 ， 都 存 在 潜 在 攻 击 的 风 险 。 知 道 您 要 面 对 的 挑 战 比 以 往 任 何 时 候 都 重 要 。 您 网 站 上 的 每 种 恶 意 攻 击 都 有 其 特 定 的 特 征 ， 并 且 伴 随 着 一 系 列 不 同 类 型 的 攻 击 ， 似 乎 无 法 防 御 所 有 攻 击 。 不 过 ， 您 可 以 做 很 多 事 情 来 保 护 您 的 网 站 免 受 这 些 攻 击 ， 并 减 轻 恶 意 黑 客 将 您 的 网 站 定 位 到 目 标 的 风 险 。 让 我 们 仔 细 研 究 一 下 I n t e r n e t 上 发 生 的 1 0 种 最 常 见 的 网 络 攻 击 ， 以 及 如 何 保 护 您 的 网 站 免 受 攻 击 。 1 0 种 最 常 见 的 网 站 安 全 攻 击 1 . 跨 站 脚 本 （ 跨 站 脚 本 （ X S S ） ） P r e c i s e   S e c u r i t y 最 近 的 一 项 研 究 发 现 ， X S S 攻 击 是 最 常 见 的 网 络 攻 击 ， 约 占 所 有 攻 击 的 4 0 ％ 。 尽 管 这 是 最 常 见 的 攻 击 ， 但 其 中 大 多 数 攻 击 并 非 十 分 复 杂 ， 都 是 由 业 余 网 络 犯 罪 分 子 使 用 他 人 创 建 的 脚 本 执 行 的 。 跨 站 点 脚 本 针 对 的 是 站 点 用 户 ， 而 不 是 W e b 应 用 程 序 本 身 。 恶 意 黑 客 将 一 段 代 码 插 入 易 受 攻 击 的 网 站 ， 然 后 由 网 站 的 访 问 者 执 行 。 该 代 码 可 能 会 破 坏 用 户 的 帐 户 ， 激 活 特 洛 伊 木 马 或 修 改 网 站 的 内 容 ， 以 欺 骗 用 户 提 供 私 人 信 息 。 您 可 以 通 过 设 置 W e b 应 用 程 序 防 火 墙 （ W A F ） 保 护 您 的 网 站 免 受 X S S 攻 击 。 W A F 充 当 过 滤 器 ， 用 于 识 别 和 阻 止 对 您 网 站 的 任 何 恶 意 请 求 。 通 常 ， 网 络 托 管 公 司 在 您 购 买 服 务 时 就 已 经 有 W A F ， 但 是 您 也 可 以 自 己 设 置 。 2 . S Q L 攻 击 攻 击 开 放 W e b 应 用 程 序 安 全 性 项 目 （ O W A S P ） 在 其 最 新 的 十 大 研 究 中 将 注 入 漏 洞 称 为 网 站 的 最 高 风 险 因 素 。 S Q L 注 入 方 法 是 此 类 网 络 犯 罪 分 子 最 常 用 的 做 法 。 注 入 攻 击 方 法 直 接 针 对 网 站 和 服 务 器 的 数 据 库 。 当 执 行 时 ， 攻 击 者 将 插 入 一 段 代 码 ， 以 揭 示 隐 藏 的 数 据 和 用 户 输 入 ， 启 用 数 据 修 改 并 通 常 危 害 应 用 程 序 。 保 护 您 的 网 站 不 受 基 于 注 入 的 攻 击 的 影 响 主 要 取 决 于 您 建 立 代 码 库 的 能 力 。 例 如 ， 减 轻 S Q L 注 入 风 险 的 唯 一 方 法 是 在 其 他 方 法 中 始 终 使 用 可 用 的 参 数 化 语 句 。 此 外 ， 您 可 以 考 虑 使 用 第 三 方 身 份 验 证 工 作 流 将 数 据 库 保 护 外 包 。 3 . 模 糊 测 试 （ 已 知 漏 洞 ） 模 糊 测 试 （ 已 知 漏 洞 ） 开 发 人 员 使 用 模 糊 测 试 来 发 现 软 件 ， 操 作 系 统 或 网 络 中 的 编 码 错 误 和 安 全 漏 洞 。 但 是 ， 攻 击 者 可 以 使 用 相 同 的 技 术 来 查 找 您 的 站 点 或 服 务 器 中 的 漏 洞 。 它 通 过 首 先 向 应 用 程 序 中 输 入 大 量 随 机 数 据 （ 模 糊 ） 使 其 崩 溃 而 起 作 用 。 下 一 步 是 使 用 模 糊 软 件 工 具 识 别 薄 弱 点 。 如 果 目 标 的 安 全 性 存 在 任 何 漏 洞 ， 攻 击 者 可 以 进 一 步 利 用 它 。 抵 制 模 糊 攻 击 的 最 佳 方 法 是 保 持 安 全 性 和 其 他 应 用 程 序 的 更 新 。 对 于 随 更 新 发 布 的 任 何 安 全 补 丁 尤 其 如 此 ， 如 果 您 尚 未 进 行 更 新 ， 则 犯 罪 者 可 以 利 用 该 更 新 。 4 . 0 D a y 攻 击 攻 击 零 日 攻 击 是 模 糊 测 试 的 扩 展 ， 但 它 本 身 不 需 要 识 别 薄 弱 环 节 。 G o o g l e 的 研 究 确 定 了 此 类 攻 击 的 最 新 案 例 ， 他 们 确 定 了 W i n d o w s 和 C h r o m e 软 件 中 潜 在 的 零 日 漏 洞 。 有 两 种 方 案 可 以 说 明 恶 意 黑 客 如 何 从 零 时 差 攻 击 中 受 益 。 第 一 种 情 况 是 ， 如 果 攻 击 者 可 以 获 取 有 关 即 将 进 行 的 安 全 更 新 的
信 息 ， 则 他 们 可 以 在 更 新 生 效 之 前 了 解 漏 洞 所 在 。 在 第 二 种 情 况 下 ， 网 络 罪 犯 会 获 取 补 丁 程 序 信 息 ， 并 锁 定 尚 未 更 新 其 系 统 的 用 户 。 在 这 两 种 情 况 下 ， 您 的 安 全 性 都 会 受 到 损 害 ， 随 后 的 损 失 取 决 于 犯 罪 者 的 技 能 。 保 护 自 己 和 网 站 免 受 零 日 攻 击 的 最 简 单 方 法 是 在 发 布 者 提 示 新 版 本 后 立 即 更 新 软 件 。 5 . 路 径 （ 或 目 录 ） 遍 历 路 径 （ 或 目 录 ） 遍 历 路 径 遍 历 攻 击 并 不 像 以 前 的 黑 客 方 法 那 样 普 遍 ， 但 是 对 任 何 W e b 应 用 程 序 仍 然 构 成 相 当 大 的 威 胁 。 路 径 遍 历 攻 击 将 W e b 根 文 件 夹 作 为 目 标 ， 以 访 问 目 标 文 件 夹 之 外 的 未 授 权 文 件 或 目 录 。 攻 击 者 试 图 在 服 务 器 目 录 中 注 入 移 动 模 式 以 在 层 次 结 构 中 向 上 移 动 。 成 功 遍 历 路 径 可 能 会 破 坏 站 点 的 访 问 权 限 ， 配 置 文 件 ， 数 据 库 以 及 同 一 物 理 服 务 器 上 的 其 他 网 站 和 文 件 。 保 护 您 的 站 点 免 受 路 径 穿 越 攻 击 归 结 于 您 的 输 入 清 理 。 这 意 味 着 要 确 保 用 户 输 入 的 安 全 和 不 可 从 服 务 器 上 恢 复 。 这 里 最 直 接 的 建 议 是 构 建 代 码 库 ， 以 使 来 自 用 户 的 任 何 信 息 都 不 会 传 递 到 文 件 系 统 A P I 。 但 是 ， 如 果 不 可 能 的 话 ， 还 有 其 他 技 术 解 决 方 案 。 6 . 分 布 式 拒 绝 服 务 （ 分 布 式 拒 绝 服 务 （ D D o S ） ） 仅 仅 D D o S 攻 击 并 不 能 阻 止 恶 意 黑 客 破 坏 安 全 性 ， 而 是 会 暂 时 或 永 久 性 地 使 站 点 脱 机 。 卡 巴 斯 基 实 验 室 在 2 0 1 7 年 进 行 的 I T 安 全 风 险 调 查 得 出 的 结 论 是 ， 一 次 D D o S 攻 击 平 均 会 使 小 型 企 业 损 失 1 2 . 3 万 美 元 ， 使 大 型 企 业 平 均 损 失 2 3 0 万 美 元 。 D D o S 攻 击 旨 在 通 过 请 求 淹 没 目 标 的 W e b 服 务 器 ， 从 而 使 其 他 访 问 者 无 法 访 问 该 站 点 。 僵 尸 网 络 通 常 会 创 建 大 量 请 求 ， 这 些 请 求 分 布 在 先 前 感 染 的 计 算 机 之 间 。 此 外 ， D D o S 攻 击 通 常 与 其 他 方 法 一 起 使 用 。 前 者 的 目 标 是 在 利 用 漏 洞 的 同 时 分 散 安 全 系 统 的 注 意 力 。 保 护 您 的 站 点 免 受 D D o S 攻 击 通 常 是 多 方 面 的 。 首 先 ， 您 需 要 通 过 使 用 内 容 交 付 网 络 （ C D N ） ， 负 载 平 衡 器 和 可 伸 缩 资 源 来 缓 解 峰 值 流 量 。 其 次 ， 如 果 D D o S 攻 击 掩 盖 了 另 一 种 网 络 攻 击 方 法 ， 例 如 注 入 或 X S S ， 则 还 需 要 部 署 W e b 应 用 程 序 防 火 墙 。 7 . 中 间 人 攻 击 中 间 人 攻 击 该 人 在 这 方 面 的 中 间 人 攻 击 是 因 为 它 从 用 户 到 服 务 器 传 播 还 没 有 加 密 其 数 据 的 网 站 中 常 见 的 。 作 为 用 户 ， 您 可 以 通 过 检 查 网 站 的 U R L 是 否 以 H T T P S 开 头 来 识 别 潜 在 的 风 险 ， 其 中 “   S ” 表 示 数 据 正 在 加 密 。 攻 击 者 使 用 中 间 人 式 攻 击 来 收 集 （ 通 常 是 敏 感 的 ） 信 息 。 当 数 据 在 两 方 之 间 传 输 时 ， 犯 罪 者 将 对 其 进 行 拦 截 。 如 果 数 据 未 加 密 ， 则 攻 击 者 可 以 轻 松 读 取 在 I n t e r n e t 上 两 个 位 置 之 间 传 播 的 个 人 ， 登 录 名 或 其 他 敏 感 信 息 。 减 轻 中 间 人 攻 击 的 一 种 直 接 方 法 是 在 您 的 站 点 上 安 装 安 全 套 接 字 层 （ S S L ） 证 书 。 该 证 书 对 各 方 之 间 传 播 的 所 有 信 息 进 行 加 密 ， 因 此 攻 击 者 不 会 轻 易 理 解 它 。 通 常 ， 大 多 数 现 代 托 管 服 务 提 供 商 已 经 在 其 托 管 程 序 包 中 提 供 了 S S L 证 书 。 8 . 暴 力 破 解 暴 力 破 解 蛮 力 攻 击 是 一 种 用 于 访 问 W e b 应 用 程 序 登 录 信 息 的 非 常 简 单 的 方 法 。 它 也 是 最 容 易 缓 解 的 方 法 之 一 ， 尤 其 是 从 用 户 方 面 来 讲 。 攻 击 者 试 图 猜 测 用 户 名 和 密 码 的 组 合 ， 以 访 问 用 户 的 帐 户 。 当 然 ， 即 使 使 用 多 台 计 算 机 ， 也 要 花 费 数 年 时 间 ， 除 非 密 码 非 常 简 单 明 了 。 保 护 您 的 登 录 信 息 的 最 佳 方 法 是 创 建 一 个 强 密 码 或 使 用 两 因 素 身 份 验 证 （ 2 F A ） 。 作 为 网 站 所 有 者 ， 您 可 以 要 求 用 户 同 时 设 置 两 者 ， 以 减 轻 网 络 犯 罪 分 子 猜 测 密 码 的 风 险 。 9 . 使 用 未 知 或 第 三 方 代 码 使 用 未 知 或 第 三 方 代 码 虽 然 没 有 在 您 的 网 站 一 个 直 线 上 升 的 攻 击 ， 利 用 联 合 国 志 愿 人 员 ē   r i f i e d 代 码 由 第 三 人 产 生 可 导 致 严 重 的 安 全 漏 洞 。 代 码 或 应 用 程 序 的 原 始 创 建 者 已 在 代 码 内 部 隐 藏 了 恶 意 字 符 串 ， 或 在 不 知 不 觉 中 留 下 了 后 门 。 然 后 ， 您 将 “ 受 感 染 的 ” 代 码 合 并 到 您 的 站 点 中 ， 然 后 执 行 该 代 码 或 利 用 后 门 。 影 响 范 围 从 简 单 的 数 据 传 输 到 对 站 点 的 管 理 访 问 。
为 避 免 潜 在 违 规 风 险 ， 请 始 终 让 您 的 开 发 人 员 研 究 并 审 核 代 码 的 有 效 性 。 另 外 ， 请 确 保 您 使 用 的 插 件 （ 尤 其 是 W o r d P r e s s ） 是 最 新 的 ， 并 定 期 收 到 安 全 补 丁 - 研 究 表 明 ， 有 1 7 , 0 0 0 多 个 W o r d P r e s s 插 件 （ 约 占 研 究 时 W o r d P r e s s 插 件 的 4 7 ％ ） 尚 未 在 两 年 内 更 新 。 1 0 . 网 络 钓 鱼 网 络 钓 鱼 网 络 钓 鱼 是 另 一 种 不 直 接 针 对 网 站 的 攻 击 方 法 ， 但 我 们 也 不 能 将 其 排 除 在 外 ， 因 为 它 仍 然 会 损 害 系 统 的 完 整 性 。 根 据 F B I 的 《 互 联 网 犯 罪 报 告 》 ， 网 络 钓 鱼 是 最 常 见 的 社 会 工 程 网 络 犯 罪 。 网 上 诱 骗 尝 试 中 使 用 的 标 准 工 具 是 电 子 邮 件 。 袭 击 者 通 常 会 将 自 己 掩 盖 成 自 己 不 是 的 人 ， 并 试 图 让 受 害 者 分 享 敏 感 信 息 或 进 行 银 行 转 账 。 这 些 类 型 的 攻 击 可 能 与 4 1 9 骗 局 （ 预 付 款 欺 诈 类 别 中 的 一 部 分 ） 不 合 时 宜 ， 或 更 复 杂 ， 涉 及 到 欺 骗 性 的 电 子 邮 件 地 址 ， 看 似 真 实 的 网 站 和 说 服 力 的 语 言 。 后 者 更 广 为 人 知 就 是 鱼 叉 式 网 络 钓 鱼 。 减 轻 网 络 钓 鱼 诈 骗 风 险 的 最 有 效 方 法 是 培 训 您 的 员 工 和 您 自 己 ， 以 识 别 此 类 尝 试 。 始 终 检 查 发 件 人 的 电 子 邮 件 地 址 是 否 合 法 ， 消 息 是 否 奇 怪 以 及 请 求 是 否 异 常 。 而 且 ， 如 果 它 太 好 以 致 无 法 实 现 ， 那 就 可 能 是 。 结 论 结 论 您 网 站 上 的 攻 击 可 以 采 取 多 种 形 式 ， 其 背 后 的 攻 击 者 可 以 是 业 余 爱 好 者 或 专 业 人 士 。 要 点 是 在 创 建 或 运 行 网 站 时 不 要 跳 过 安 全 功 能 ， 因 为 这 可 能 会 带 来 可 怕 的 后 果 。 虽 然 不 可 能 完 全 消 除 网 站 攻 击 的 风 险 ， 但 您 至 少 可 以 减 轻 结 果 的 可 能 性 和 严 重 性 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理