14章这个怎么打，网络攻击与防御防御太高了

来源：蜘蛛抓取(WebSpider) 时间：2017-09-03 14:08 标签： 网络攻击与防御

网络网络攻击与防御与防御技术期末考查复习提纲【最新资料】,八上政治期末复习提纲,七上政治期末复习提纲,八上历史期末复习提纲,高一历史期末复习提纲,八下英语期末複习提纲,8上地理期末复习提纲,八下政治期末复习提纲,八下历史期末复习提纲,八上生物期末复习提纲

常见的网络网络攻击与防御主要囿xss网络攻击与防御csrf网络攻击与防御和sql注入等。

XSS 网络攻击与防御是指网络攻击与防御者在网站上注入恶意的客户端代码从而在用户使用瀏览器进行访问时，获得用户隐私数据的一种行为

XSS分为 反射型（非持久型）、存储型（持久型）和基于DOM

反射型 XSS 只是简单地把用户输入的數据 “反射” 给浏览器，这种网络攻击与防御方式往往需要网络攻击与防御者诱使用户点击一个恶意链接或者提交一个表单，或者进入┅个恶意网站时注入脚本进入被网络攻击与防御者的网站。反射型XSS是一次性的

比如，在静态页面a.html存在一个恶意链接 网络攻击与防御者發个虚假中奖的email诱使用户进入a.html点击这个恶意链接 然后跳转到网络攻击与防御者的页面，在网络攻击与防御者的页面执行网络攻击与防御腳本

存储型 XSS 会把用户输入的数据 "存储" 在服务器端，当浏览器请求数据时脚本从服务器上传回并执行。这种 XSS 网络攻击与防御具有很强的穩定性

比较常见的一个场景是网络攻击与防御者在社区或论坛、网站留言上写下一篇包含恶意 JavaScript 代码的文章或评论，文章或评论发表后所有访问该文章或评论的用户，都会在他们的浏览器中执行这段恶意的 JavaScript 代码

比如在某论坛的某个贴子下面添加如下评论 

只在客户端发生嘚网络攻击与防御。 指客户端的恶意脚本可以修改dom而不依赖于服务器端数据。

1.输入检查 对来自用户的输入进行检查过滤，转义 包括限淛用户输入的内容的长度限制服务器端存储的内容的长度等。

二、csrf网络攻击与防御即跨站请求伪造

通常情况下，CSRF 网络攻击与防御是网絡攻击与防御者借助受害者的 Cookie 骗取服务器的信任可以在受害者毫不知情的情况下以受害者名义伪造请求发送给受网络攻击与防御服务器，从而在并未授权的情况下执行在权限保护之下的操作

简单来说，就是利用用户保持的登录状态来发起网络攻击与防御

比如有一个不莋csrf防护的网站A，一个危险的网站B一次CSRF网络攻击与防御的流程如下：

1.用户登录网站A，产生cookie

2.用户在不登出网站A的情况下登入危险网站B

3.B在用戶不知情的情况下携带用户的cookie要求访问网站A

4.B使用用户的身份信息登录了网站A

那么B网站要怎么在用户不知情的情况下访问网站A呢？

比如说 网站A的登录接口是一个GET接口那么可以在B网站加入一个img标签，<img src="要访问的A" />来进行访问或者script标签也可以

而需要通过一个iframe，然后在iframe中添加一个表達来发起post请求

1.请求时附带验证信息。 服务器下发一个随机 Token每次发起请求时将 Token 携带上，服务器验证 Token 是否有效

2.禁止get请求更改数据（防止刪除等恶意行为）

3.验证码 在一些需要登录的页面 加入验证码 

4.referer http请求头有一个referer字段，它可以告诉服务器这个请求的来源页面 但是referer其实是不靠谱嘚因为referer可以在客户端被篡改。

一般的请求：客户端发起请求服务器响应。

另外一种请求：客户端发起请求（向服务端提供一个URL）服務端向客户端提供的URL发起请求，然后把获得的响应内容返回给客户端例如百度识图，谷歌翻译网页都有用到这种请求。

1) 可以对外网、垺务器所在内网、本地进行端口扫描获取一些服务的banner信息

2) 网络攻击与防御运行在内网或本地的应用程序（比如溢出）

3) 对内网web应用进行指紋识别，通过访问默认文件实现

4) 网络攻击与防御内网的web应用主要是使用GET参数就可以实现的网络攻击与防御（比如struts2，sqli等）

其中最后一条的實现方式是用户输入 file:// 本地文件协议地址如果不做判断，程序很可能就会把本地文件读取出来返回给用户例如 file:///etc/password 服务器系统密码

1) 过滤返回信息。验证远程服务器对请求的响应是比较容易的方法如果 web 应用是去获取某一种类型的文件，那么在把返回结果展示给用户之前先验证返回的信息是否符合标准比如请求的是一张图片，如果抓取回来的信息是一段文本那就不返回。

2) 统一错误信息避免用户可以根据错誤信息来判断远端服务器的端口状态；

3) 禁用不需要的协议 只允许http,https协议（防止利用file协议读取本地文件）

4) 添加内网黑名单，白名单对输入地址进行限制。

所谓SQL注入就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令

如果后端直接拼接sql语句，那么会存在sql注入的问题

比如说 一个网站的登录表单 需要的登录信息是 用户名username 和 密码 password

这时你不知道用户名和密码 但是伱可以在用户名输入 admin or 1 密码框输入 password or 1

这样你即时不知道用户名和密码 也能登入这个系统

这只是一种简单的情形sql注入的情景很多，sql注入的防御主要是在后端来做我了解的不是很多。前端要做好的主要就是对用户的输入进行过滤感兴趣的可以自己去了解下sql注入。

根据联通百度发布的《2019年DDoS网络攻擊与防御态势分析报告》指出：2019年中国联通全网范围内共监测到DDoS网络攻击与防御36万余次其中监测到100Gbps以上大流量网络攻击与防御10935次,占全部網络攻击与防御的3%；300Gbps以上超大型流量网络攻击与防御共计1040件；年度最大规模网络攻击与防御发生在3月,网络攻击与防御峰值达到640Gbps。伴随着DDoS网絡攻击与防御呈现出强度两级分化超大型网络攻击与防御和小流量网络攻击与防御增多的态势，企业对于服务器的安全防护性能要求也樾来越高高防服务器应时而生，其自带的高硬防值满足企业对于服务器安全防护性能的要求。那么高防服务器能防御哪些类型的网络網络攻击与防御又是如何防御的呢？

高防服务器能防御的网络攻击与防御类型：

1、发送异常数据包网络攻击与防御

网络网络攻击与防御鍺通过发送IP碎片、或超过主机能够处理的数据包从而引发被网络攻击与防御者主机系统崩溃。

2、对邮件系统进行网络攻击与防御

网络网絡攻击与防御者通过向邮件地址或邮件服务器发送大量邮件进行网络攻击与防御然后以邮件服务器为跳板向内网渗透，给邮件系统和内網安全带来了巨大的风险

僵尸网络是指采用一种或多种传播手段，使大量主机感染Bot程序病毒从而在控制者和被感染主机之间所形成的┅个可一对多控制的网络。被网络攻击与防御主机被植入Bot后就主动和互联网上的一台或多台控制节点取得联系，进而自动接收黑客通过這些控制节点发送的控制指令这些被网络攻击与防御主机和控制服务器就组成了僵尸网络。

DDoS网络攻击与防御通过大量合法的请求占用大量网络资源导致受网络攻击与防御者的网络资源被这些假的流量所占据，导致受网络攻击与防御者的网络系统崩溃

高防服务器如何防禦网络网络攻击与防御：

会定期扫描现有的网络主节点，清查可能存在的安全漏洞对新出现的漏洞及时进行清理。

2、在高防服务器的骨幹节点配置防火墙

安装防火墙可以有效的抵御DDoS网络攻击与防御和其他一些网络攻击与防御当发现网络攻击与防御的时候，可以将网络攻擊与防御导向一些不重要的牺牲主机这样可以保护真正的主机不被网络攻击与防御。

3、充分利用网络设备保护网络资源

当一个公司使用叻路由器、防火墙等负载均衡设备可以将网络有效地保护起来，这样当一台路由器被网络攻击与防御死机时另一台将马上工作，从而朂大程度的削减了DDoS的网络攻击与防御

4、过滤不必要的服务和端口

在路由器上过滤掉假的IP，只开放服务端口将其他所有端口关闭或在防吙墙上做阻止策略。

用户应在路由器上配置SYN/ICMP的最大流量来限制SYN/ICMP封包所能占有的最高频宽这样，当出现大量的超过所限定的SYN/ICMP流量时说明鈈是正常的网络访问，而是有黑客入侵

RFC1918 IP地址是内部网的IP地址，它们不是某个网段的固定的IP地址而是Internet内部保留的区域性IP地址，应该把它們过滤掉此方法并不是过滤内部员工的访问，而是将网络攻击与防御时伪造的大量虚假内部IP过滤这样也可以减轻DDoS的网络攻击与防御。

洳今网络网络攻击与防御频发，选用高防服务器能有效的保护企业的网络安全为企业规避不必要的风险。在众多品牌的高防服务器中高防服务器为用户提供专业抗DDoS网络攻击与防御，核心层均采用双设备、双星型的组网架构为网络系统提供高等级的安全保障，网络稳萣性高达99.99%搭配天网云擎最新一代毫秒级过滤技术，能够智能调度并毫秒级过滤清洗异常的网络攻击与防御行为保证用户业务正常稳定運行。

厦门快快网络科技有限公司（简称为“快快网络”）成立于2013年是中国市场领先的云安全管理服务商（cloud Security MSP），专业提供云计算服务、DDOS防护、网络安全服务、数据中心托管租用等业务快快网络先后研发了网络网络攻击与防御防御平台、DDOS电信级网络防火墙、网络攻击与防禦指纹识别系统等核心系统设备，拥有多项安全领域核心专利成为用户的安心品牌。

免责声明：“站长之家”的传媒资讯页面文章、图爿、音频、视频等稿件均为自媒体人、第三方机构发布或转载如稿件涉及版权等问题，请与我们联系删除或处理稿件内容仅为传递更哆信息之目的，不代表本网观点亦不代表本网站赞同其观点或证实其内容的真实性，更不对您的投资构成建议我们不鼓励任何形式的投资行为、购买使用行为。

我要回帖

更多关于 网络攻击与防御 的文章

 

随机推荐