- XSS（Cross Site Script，跨站脚本攻击）是向网页中注入恶意脚本在用户浏览网页时在用户浏览器中执行恶意脚本的攻击方式。跨站脚本攻击分有两种形式：反射型攻击（诱使用户点击一个嵌入恶意脚本的链接以达到攻击的目标，目前有很多攻击者利用论坛、微博发布含有恶意脚本的URL就属于这种方式）和持久型攻击（将恶意脚本提交到被攻击网站的数据库中，用户浏览网页时，恶意脚本从数据库中被加载到页面执行，QQ邮箱的早期版本就曾经被利用作为持久型跨站脚本攻击的平台）。XSS虽然不是什么新鲜玩意，但是攻击的手法却不断翻新，防范XSS主要有两方面：消毒（对危险字符进行转义）和HttpOnly（防范XSS攻击者窃取Cookie数据）。
- SQL注入攻击是注入攻击最常见的形式（此外还有OS注入攻击（Struts 2的高危漏洞就是通过OGNL实施OS注入攻击导致的）），当服务器使用请求参数构造SQL语句时，恶意的SQL被嵌入到SQL中交给数据库执行。SQL注入攻击需要攻击者对数据库结构有所了解才能进行，攻击者想要获得表结构有多种方式：（1）如果使用开源系统搭建网站，数据库结构也是公开的（目前有很多现成的系统可以直接搭建论坛，电商网站，虽然方便快捷但是风险是必须要认真评估的）；（2）错误回显（如果将服务器的错误信息直接显示在页面上，攻击者可以通过非法参数引发页面错误从而通过错误信息了解数据库结构，Web应用应当设置友好的错误页，一方面符合最小惊讶原则，一方面屏蔽掉可能给系统带来危险的错误回显信息）；（3）盲注。防范SQL注入攻击也可以采用消毒的方式，通过正则表达式对请求参数进行验证，此外，参数绑定也是很好的手段，这样恶意的SQL会被当做SQL的参数而不是命令被执行，JDBC中的PreparedStatement就是支持参数绑定的语句对象，从性能和安全性上都明显优于Statement。
- CSRF攻击（Cross Site Request Forgery，跨站请求伪造）是攻击者通过跨站请求，以合法的用户身份进行非法操作（如转账或发帖等）。CSRF的原理是利用浏览器的Cookie或服务器的Session，盗取用户身份，其原理如下图所示。防范CSRF的主要手段是识别请求者的身份，主要有以下几种方式：（1）在表单中添加令牌（token）；（2）验证码；（3）检查请求头中的Referer（前面提到防图片盗链接也是用的这种方式）。令牌和验证都具有一次消费性的特征，因此在原理上一致的，但是验证码是一种糟糕的用户体验，不是必要的情况下不要轻易使用验证码，目前很多网站的做法是如果在短时间内多次提交一个表单未获得成功后才要求提供验证码，这样会获得较好的用户体验。
什么是XSS攻击？什么是SQL注入攻击？什么是CSRF攻击？
2018-07-25
1252
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《
阿里云开发者社区用户服务协议》和
《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写
侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：
XSS（Cross Site Script，跨站脚本攻击）是向网页中注入恶意脚本在用户浏览网页时在用户浏览器中执行恶意脚本的攻击方式。跨站脚本攻击分有两种形式：反射型攻击（诱使用户点击一个嵌入恶意脚本的链接以达到攻击的目标，目前有很多攻击者利用论坛、微博发布含有恶意脚本的URL就属于这种方式）和持久型攻击（将恶意脚本提交到被攻击网站的数据库中，用户浏览网页时，恶意脚本从数据库中被加载到页面执行，QQ邮箱的早期版本就曾经被利用作为持久型跨站脚本攻击的平台）。
目录
相关文章
|
1天前
|
SQL
安全
|
2天前
|
存储
JavaScript
安全
|
3天前
|
SQL
测试技术
网络安全
|
5天前
|
SQL
安全
关系型数据库
|
11天前
|
SQL
存储
Java
|
11天前
|
SQL
安全
PHP
【PHP 开发专栏】PHP 防止 SQL 注入的方
【4月更文挑战第30天】本文介绍了PHP防止SQL注入的策略，包括理解SQL注入的原理和危害，如数据泄露和系统控制。推荐使用参数化查询（如PDO扩展）、过滤和验证用户输入，以及选择安全的框架和库（如Laravel）。此外，强调了保持警惕、定期更新维护和开发人员安全培训的重要性，以确保应用安全。
39
3
3
|
11天前
|
SQL
存储
安全
|
11天前
|
SQL
Oracle
关系型数据库
|
11天前
|
SQL
Oracle
关系型数据库
|
11天前
|
SQL
关系型数据库
MySQL
热门文章
最新文章
1
一文搞懂SQL优化——如何高效添加数据
2
【SQL server】玩转SQL server数据库：第三章 关系数据库标准语言SQL（二）数据查询
3
NL2SQL实践系列(2)：2024最新模型实战效果(Chat2DB-GLM、书生·浦语2、InternLM2-SQL等)以及工业级案例教学
4
数据库管理与电脑监控软件：SQL代码优化与实践
5
【SQL server】玩转SQL server数据库：第二章 关系数据库
6
SQL常见面试题总结2
7
大模型与数据分析：探索Text-to-SQL（上）
8
NL2SQL进阶系列(4)：ConvAI、DIN-SQL等16个业界开源应用实践详解[Text2SQL]
9
NL2SQL进阶系列(5)：论文解读业界前沿方案（DIN-SQL、C3-SQL、DAIL-SQL）、新一代数据集BIRD-SQL解读
10
大模型与数据分析：探索Text-to-SQL（中）
1
第二轮学习笔记：CSRF跨站请求伪造漏洞
16
2
CSRF漏洞利用工具 -- CSRFTester
53
3
Python 的安全性和测试：解释什么是 XSS 和 CSRF 攻击？在 Python 中如何防范这些攻击？
61
4
互联网并发与安全系列教程（06） - 常见的Web安全漏洞（CSRF攻击）
72
5
如何使用 ABAP 代码消费需要传递 CSRF token 的 OData 服务试读版
45
6
Web Security 之 CSRF
30
7
CSRF(跨站请求伪造)
76
8
前端学习笔记202307学习笔记第五十七天-模拟面试笔记网络-xss和csrf攻击
60
9
Django中防范CSRF跨站点请求伪造攻击
73
10
PHP - Laravel CSRF 介绍与用法（及取消 CSRF 验证）
118