vlambda博客
学习文章列表

网站在信息化过程中扮演着极其重要的角色，政府、金融、电信等企事业单位均采用网站进行网上业务办理、信息查询、网上购物等。由于网站暴露在互联网上，就极易受到来自互联网的各类攻击，稍不留意将造成巨大的声誉影响，关键数据泄露，甚至导致严重的经济利益受损。而网站漏洞则是导致攻击的最主要因素之一，如何准确及时地发现漏洞，采取修复措施显得刻不容缓，等级保护中对信息系统采取定期的风险评估，指出对网站进行定期扫描检测也是必要防护措施之一。

Web 应用程序随着业务系统的庞大而复杂，由于开发人员的水平和经验参差不齐，相当一部分的开发人员在编写代码的时候，没有对用户的输入数据或者是页面中所携带的信息(如Cookie)进行必要的合法性判断，导致了攻击者可以利用这个编程漏洞来入侵数据库或者攻击Web 应用程序的使用者，由此获得一些重要的数据和利益。

从互联网兴起至今，利用漏洞攻击的网络安全事件不断，并且呈日趋严重的态势。每年全球因漏洞导致的经济损失巨大。企业在不断地寻求着漏洞的解决之道，不断尝试将由漏洞带来的风险降到最低，虽然也取得了一定成效，但是利用漏洞的攻击也在逐渐表现为多种不同的危害形式，新的攻击总是会出其不意。

随着互联网的发展及经济利益的驱动，黑客正逐渐将攻击重点转在Web 应用服务器上，如利用网站漏洞获取网站数据，通过网页挂马（目前木马的主要传播方式之一）等，由此危害了服务器安全及客户端安全。

图为Web应用漏洞排名

SQL 注入漏洞

一般是指在存在 SQL 注入漏洞的 Web 应用上，攻击者将恶意构造的 SQL 语句通过 web应用的输入点注入到后端数据库中执行，以达到恶意操作数据库数据的目的。

SQL注入是通过正常的Web应用服务器端口进行的，表面上与正常的数据请求没什么区别，如果不对这类恶意构造的SQL语句进行检测防御的话，很可能会因为SQL注入漏洞的存在导致数据库中的信息受到威胁，比如数据被删除，修改或增加伪造内容，挂马，留后门，甚至被进一步利用而拿到操作系统的管理员权限，后果不堪设想。

XSS 跨站脚本漏洞

XSS（Cross-Site Scripting）即跨站脚本攻击，这类攻击发生在客户端，是攻击者将恶意代码注入到Web客户端，从而影响到其他浏览此Web界面的用户。注入的恶意代码包括危险的HTML标签，客户端脚本。大多数网站都广泛存在这样的漏洞。XSS能做什么？钓鱼欺骗、挂马、盗取用户Cookie、Spam垃圾信息、DDOS攻击、针对性攻击、劫持用户Web行为、甚至爆发Web2.0蠕虫、勒索病毒传播。

CSRF 跨域脚本漏洞

CSRF（Cross-site request forgery）即跨站请求伪造，是一种对网站的恶意利用技术。尽管听起来像XSS，但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站，发起一次伪造的请求，而这样的请求一般是具有较大危害性。