什么是WEB攻击？有哪些措施可以防御

日益渐多的web应用出现，用户一旦不注意就会被黑客利用网站安全漏洞进行攻击和植入病毒，一旦网站安全遭受破坏，网站页面被篡改，程序被删除，代码被加密勒索都是有可能出现。Web应用程序的安全性是任何基于Web业务的重要组成部分，确保Web应用程序安全十分重要，今天德迅云安全就来分享下常见的WEB攻击方式及对应的有哪些安全防范措施。

常见的WEB攻击包括：

1、DDos拒绝服务攻击

DDOS分布式拒绝服务攻击（Distributed Denial of Service）就是在DOS攻击基础上借助公共网络，将大数量的计算机设备联合起来，向一个或多个目标发送大量请求使使服务器瘫痪。

DDoS攻击可以针对网络通讯协议的各层，大致有：TCP类的SYN Flood、ACK Flood，UDP类的Fraggle、Trinoo，DNS Query Flood，ICMP Flood，Slowloris。WEB攻击中常见的CC攻击也是DDOS攻击的一种形式。

防范措施：

DDoS 防御的技术核心是检测攻击和拦截清洗恶意流量。检测技术就是检测网站是否正在遭受 DDoS 攻击，而拦截清洗技术就是清洗掉异常流量，返回源站正常访问流量。而检测技术的核心在于对业务深刻的理解，才能快速精确判断出是否真的发生了 DDoS 攻击。清洗技术对检测来讲，不同的业务场景下要求的粒度不一样。

对于WEB应用，能满足这些技术要求的，德迅云安全推荐使用安全加速SCDN。安全SCDN拥有的高防节点，可以对恶意流量进行拦截清洗，将正常用户访问流量转发回源站；另外，安全SCDN还可以通过AI检测和行为分析来应对特定类型的DDoS攻击，例如威胁情报库、个性化策略配置、日志自学习和人机校验等方式来防护应用层DDoS攻击。

同时，使用安全SCDN不仅可以有效防御DDoS攻击，而且还能优化性能和提高网站速度。

2、WEB应用程序漏洞

业务漏洞是跟具体的应用程序相关，比如参数篡改（连续编号 ID / 订单、1 元支付）、重放攻击（伪装支付）、权限控制（越权操作）等。

防范措施：

1）系统设计阶段就需要考虑业务漏洞的问题，尽量避免连续编号、越权操作等。

2）使用漏洞扫描服务VSS，对网站和应用程序进行安全扫描，以发现潜在的安全漏洞和弱点。这有助于及时修复漏洞并加强系统的安全性。

漏洞扫描服务（Vulnerability Scan Service）是集Web漏洞扫描、操作系统漏洞扫描、资产内容合规检测、配置基线扫描、弱密码检测五大核心功能，自动发现网站或服务器在网络中的安全风险，为云上业务提供多维度的安全检测服务，满足合规要求，让安全弱点无所遁形。

3、 CSRF跨站点请求伪造

CSRF跨站点请求伪造（Cross-Site Request Forgeries）是指攻击者通过已经设置好的陷阱，强制对已完成认证的用户进行非预期的个人信息状态更新，属于被动攻击。更简单的理解就是攻击者盗用了你的名义，以你的名义发送了其他请求。JSON 劫持（JSON Hijacking）是用于获取敏感数据的一种攻击方式，也属于 CSRF 攻击的范畴。

防范措施：

1）将cookie设置为HttpOnly。CSRF攻击很大程度是利用了浏览器的cookie，为了防止站内XSS漏洞，cookie设置HttpOnly属性，JS脚本就无法读取到cookie中的信息，避免攻击者伪造cookie的情况出现。

2）增加token。CSRF攻击之所以成功，主要是攻击中伪造了用户请求，而用户请求的验证信息都在cookie中，攻击者就可以利用cookie伪造请求通过安全验证。因此抵御CSRF攻击的关键就是，在请求中放入攻击者不能伪造的信息，并且信息不在cookie中。鉴于此，开发人员可以在http请求中以参数的形式加一个token，此token在服务端生成，也在服务端校验，服务端的每次会话都可以用同一个token。如果验证token不一致，则认为是CSRF攻击，拒绝请求。

3）通过Referer识别。Http头中有一个字段Referer，它记录了Http请求来源地址。但是注意不要把Rerferer用在身份验证或者其他非常重要的检查上，因为Rerferer非常容易在客户端被改变。

4、SOL注入攻击

SOL注入攻击是攻击者成功的向服务器提交恶意的SQL查询代码，程序在接收后错误的将攻击者的输入作为查询语句的一部分执行，导致原始的查询逻辑被改变，额外的执行了攻击者精心构造的恶意代码。

防范措施：

对进入数据库的特殊字符（'"\<>&*;等）进行转义处理，或编码转换。在应用发布之前建议使用专业的SQL注入检测工具（如sqlmap、SQLninja）进行检测，以及时修补被发现的SQL注入漏洞。避免网站打印出SQL错误信息，比如类型错误、字段不匹配等，容易把代码里的SQL语句暴露出来。

5、XSS跨站脚本攻击

XSS跨站脚本攻击（Cross-Site scripting）是指在通过注册的网站用户的浏览器内运行非法的HTML标签或java script，从而达到攻击的目的，如盗取用户的cookie，改变网页的DOM结构，重定向到其他网页等。XSS攻击分类包含反射型，存储型，DOM型，FLASH。

防范措施：

坚决不要相信用户的任何输入，并过滤掉输入中的所有特殊字符。这样就能消灭绝大部分的XSS攻击。主要有两种方式：过滤特殊字符和使用HTTP头指定类型。

6、文件上传漏洞

倘若web网站没有对文件类型进行严格的校验，导致可执行文件上传到了服务器，恶意程序就会执行。

防范措施：

1）客户端检测 ：程序员一般使用 java script 来拒绝非法文件上传。

2）服务器端检测：白名单与黑名单验证：定义不允许或允许上传的文件扩展名；MIME验证，php 中通过 $_F ILE['fi le']['t ype'] 来检验；目录验证，在文件上传时，程序通常允许用户将文件放到指定的目录中，如果指定的目录存在，就将文件写入目录中。

7、DNS查询攻击

DNS查询攻击（DNS Query Flood）是向被攻击的服务器发送海量的随机生成的域名解析请求，大部分根本就不存在，并且通过伪造端口和客户端IP，防止查询请求被ACL过滤。被攻击的DNS服务器在接收到域名解析请求后，首先会在服务器上查找是否有对应的缓存，当没有缓存并且该域名无法直接由该DNS服务器进行解析的时候，DNS服务器会向其上层DNS服务器递归查询域名信息，直到全球互联网的13台根DNS服务器。大量不存在的域名解析请求，给服务器带来了很大的负载，当解析请求超过一定量的时候，就会造成DNS服务器解析域名超时，这样攻击者便达成了攻击目的。

防范措施：

根据域名 IP 自学习结果主动回应，减轻服务器负载（使用 DNS Cache）；对突然发起大量频度较低的域名解析请求的源 IP 地址进行带宽限制；在攻击发生时降低很少发起域名解析请求的源 IP 地址的优先级；限制每个源 IP 地址每秒的域名解析请求次数。

8、暴力破解

这个一般针对密码而言，弱密码（Weak Password）很容易被别人猜到或被破解工具暴力破解。

防范措施：

防御方法主要有两种，其一密码复杂度要足够大也要足够隐蔽，其二限制尝试次数。

9、后门程序

后门程序一般是指那些绕过安全性控制而获取对程序或系统访问权的程序方法。在软件的开发阶段，程序员常常会在软件内创建后门程序以便可以修改程序设计中的缺陷。但是如果这些后门被其他人知道，或是在发布软件之前没有删除后门程序，那么它就成了安全风险，容易被黑客当成漏洞进行攻击。

防范措施：

在具备一定开发能力的状况下，尽量避免使用开源程度较高的框架或CMS。

总之，WEB攻击是针对用户上网行为或网站服务器等设备进行攻击的行为，其目的是为了窃取、修改、伪造或破坏信息，为了提高网站和应用程序的安全性，减少遭受WEB攻击的风险，除了采取上述的一些安全防护措施外，也需要不断关注新的安全漏洞和攻击方式，以应对新的攻击手段，保障WEB应用安全。