Web常见的攻击方式及防御方法

Web常见的攻击方式及防御方法如下：

1. 跨站脚本（XSS）

• 攻击方式：恶意代码被注入到网页中，用户浏览时执行该代码，导致窃取用户信息、伪造页面等。
• 防御：
  • 对用户输入严格过滤、转义。
  • 使用安全的编码标准（如HTML实体）。
• 案例：某网站评论区允许HTML标签，攻击者在评论中注入恶意脚本。

2. SQL注入

• 攻击方式：通过用户输入，构造恶意SQL语句，获取数据库敏感数据或修改数据库。
• 防御：
  • 使用预编译SQL语句（Prepared Statements）。
  • 严格验证用户输入。
• 案例：登录表单中，攻击者输入 ' OR '1'='1' 绕过认证。

3. 跨站请求伪造（CSRF）

• 攻击方式：通过伪造请求，在用户不知情时操作其账户（如转账、改密码）。
• 防御：
  • 使用CSRF token。
  • 限制请求来源（Referer验证）。
• 案例：用户在登录状态下，点击恶意链接触发转账操作。

4. 文件上传漏洞