web工程师——小发发

什么是XSS攻击？ XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、VBScript、ActiveX、Flash或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。 攻击原理： HTML是一种超文本标记语言，通过将一些字符特殊地对待来区别文本和标记，例如，小于符号（

什么是SQL注入？ SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。 SQL注入的特点： 广泛性：任何一个基于SQL语言的数据库都可能被攻击，很多开发人员在编写Web应用程序时未对输入参数、Web表单、cookie等接受到的值进行规范性验证和检测，通常会出现SQL注入漏洞 隐蔽性：SQL

Web攻击动机： 恶作剧 关闭Web站点，拒绝正常服务 篡改Web网页，损害企业名誉 免费浏览收费内容 盗窃用户隐私信息，例如Email 以用户身份登录执行非法操作，从而获取暴利 以此为跳板攻击企业内网其他系统 网页挂木马，攻击访问网页的特定用户群 仿冒系统发布方，诱骗用户执行危险操作，例如用木马替换正常下载文件，要求用户汇款等。 盗取用户信息 窃取用户资产等 ...

一、CSRF是什么？ CSRF（Cross-site request forgery）跨站请求伪造，是一种常见的web安全漏洞，概括地说就是指，攻击者通过浏览器保存的Cookie盗用了你的身份，以你的名义给某个网站发送恶意请求，这些恶意请求包括但不限于发邮件、修改账户信息、购买商品、转账等等，如果这个网站没有防御csrf攻击的话，那么这些恶意请求可能会请求成功，从而泄露了个人的隐私安全和财产安全。 二、CSRF的原理 浏览并登录受信网站WebA。 验证通过，浏览器端产生WebA的cookie。 用