IT技术面试知识点|如何防范常见的Web攻击网络工程师培训,0基础网络工程师学习,优质就业机构

　　在学子们面试企业的网络安全岗位时，很多企业都喜欢问一些较为难一些的问题，想检验是否匹配自己的企业，因此，学子们在学习时只要技能技术掌握到位，那么在瞬息万变的职场环境中，才能够顺利的面试上，为此，今天北京八维教育培训学校和大家一起来了解一些如何防范常见的Web攻击的知识点，希望能够帮助到每一位学子。

　　用户登录，输入用户名 lianggzone，密码 ‘ or ‘1’=’1 ，如果此时使用参数构造的方式，就会出现select * from user where name = ‘lianggzone’ and password = ‘’ or ‘1’=‘1’

　　不管用户名和密码是什么内容，使查询出来的用户列表不为空。

　　1.如何防范 SQL 注入攻击使用？

　　预编译的 PrepareStatement 是必须的，但是一般我们会从两个方面同时入手。

　　Web 端

　　1)有效性检验。

　　2)限制字符串输入的长度。

　　服务端

　　1)不用拼接 SQL 字符串。

　　2)使用预编译的 PrepareStatement。

　　3)有效性检验。(为什么服务端还要做有效性检验?第一准则，外部都是不可信的，防止攻击者绕过 Web 端请求)

　　4)过滤 SQL 需要的参数中的特殊字符。比如单引号、双引号。

　　2.什么是 XSS 攻击？

　　跨站点脚本攻击，指攻击者通过篡改网页，嵌入恶意脚本程序，在用户浏览网页时，控制用户浏览器进行恶意操作的一种攻击方式。

　　3.如何防范 XSS 攻击？

　　1)前端，服务端，同时需要字符串输入的长度限制。

　　2)前端，服务端，同时需要对 HTML 转义处理。将其中的”<”,”>”等特殊字符进行转义编码。防 XSS 的核心是必须对输入的数据做过滤处理。

　　4.什么是 CSRF 攻击？

　　跨站点请求伪造，指攻击者通过跨站请求，以合法的用户的身份进行非法操作。可以这么理解 CSRF 攻击：攻击者盗用你的身份，以你的名义向第三方网站发送恶意请求。CRSF 能做的事情包括利用你的身份发邮件，发短信，进行交易转账，甚至盗取账号信息。

　　5.如何防范 CSRF 攻击安全框架？

　　例如 Spring Security, token 机制。在 HTTP 请求中进行 token 验证，如果请求中没有 token 或者 token 内容不正确，则认为 CSRF 攻击而拒绝该请求。

　　验证码。通常情况下，验证码能够很好的遏制 CSRF 攻击，但是很多情况下，出于用户体验考虑，验证码只能作为一种辅助手段，而不是最主要的解决方案。

　　referer 识别。在 HTTP Header 中有一个字段 Referer，它记录了 HTTP 请求的来源地址。如果Referer 是其他网站，就有可能是 CSRF 攻击，则拒绝该请求。但是，服务器并非都能取到Referer。很多用户出于隐私保护的考虑，限制了 Referer 的发送。在某些情况下，浏览器也不会发送 Referer，例如 HTTPS 跳转到 HTTP。

　　1)验证请求来源地址；

　　2)关键操作添加验证码；

　　3)在请求地址添加 token 并验证。
如何防范常见的Web攻击

　　6.什么是文件上传漏洞？

　　文件上传漏洞，指的是用户上传一个可执行的脚本文件，并通过此脚本文件获得了执行服务端命令的能力。

　　许多第三方框架、服务，都曾经被爆出文件上传漏洞，比如很早之前的 Struts2，以及富文本编辑器等等，可被攻击者上传恶意代码，有可能服务端就被人黑了。如何防范文件上传漏。文件上传的目录设置为不可执行。

　　1)判断文件类型。在判断文件类型的时候，可以结合使用 MIME Type，后缀检查等方式。

　　因为对于上传文件，不能简单地通过后缀名称来判断文件的类型，因为攻击者可以将可执行文件的后缀名称改为图片或其他后缀类型，诱导用户执行。

　　2)对上传的文件类型进行白名单校验，只允许上传可靠类型。

　　3)上传的文件需要进行重新命名，使攻击者无法猜想上传文件的访问路径，将极大地增加攻击成本，同时向 shell.php.rar.ara 这种文件，因为重命名而无法成功实施攻击。

　　4)限制上传文件的大小。

　　5)单独设置文件服务器的域名。

　　DDos攻击客户端向服务端发送请求链接数据包，服务端向客户端发送确认数据包，客户端不向服务端发送确认数据包，服务器一直等待来自客户端的确认，没有彻底根治的办法，除非不使用 TCP。

　　7.DDos 预防：

　　1)限制同时打开 SYN 半链接的数目

　　2)缩短 SYN 半链接的 Time out 时间

　　3)关闭不必要的服务

　　相信通过上面的介绍，大家对网络安全知识中如何防范常见的Web攻击已经有所了解了，网络安全对于目前的互联网企业来说是非常重要的，所以近几年，网络安全这个岗位的招聘率也是非常高的，想要学习网络安全技术，对于零基础同学来说最好是选择培训机构系统学习。

　　北京八维教育培训学校拥有多年IT培训服务经验，经过多年办学，课程大纲紧跟企业需求，更科学更严谨，有丰富的业界资源让我们接触到行业新技术、新动态，让我们的学习与就业不会出现脱节的现象;即使你是零基础，也能够在这里从标准的行业编程语言学起，逐步深入学习、掌握技能，并且通过丰富的项目实训来实践、扎实技能，更有专业的品质保障团队，为学员提供一体化品质保障服务，指导学员安心学习、成长无忧。
如何防范常见的Web攻击