常见的web网络攻击及解决方法

XSS攻击

指的是跨脚本攻击，指的是插入一段JS，用户浏览页面时，它会自动执行实行攻击。攻击者在网页中嵌套，恶意脚本程序，当用户打开网页时，程序开始在浏览器上启动，盗取用户的cooks，从而盗取密码等信息，下载执行木马程序。
方式：

• 通过输入框
• 通过URL
• 通过恶意路由器

解决方案：
任何UI输入域，必须转码编译，URL编码，过滤掉特殊的<script>标签等

CSRF攻击

跨站请求伪造，主要是利用用户登录信息，如Cookie信息，通过黑客网站做一些恶意攻击。

方式：
利用server端的漏洞+cookie未过期+user打开了黑客的site
用户访问第三方网站，网站中带有cookie，第三方网站盗取未过期cookie信息向被攻击网站发送请求。
解决方案：
不访问不明网站
阻止不明外域的访问
1.同源检测
2. Samesite Cookie
提交时要求附加本域才能获取的信息
1.CSRF Token
2.双重Cookie验证

SQL注入

所谓SQL注入,就是通过把SQL命令伪装成正常的HTTP请求参数,传递到服务端,欺骗服务器最终执行恶意的SQL命令,达到入侵目的。
攻击者可以利用SQL注入漏洞,查询非授权信息, 修改数据库服务器的数据,改变表结构,甚至是获取服务器root权限。总而言之,SQL注入漏洞的危害极大,攻击者采用的SQL指令,决定攻击的威力。当前涉及到大批量数据泄露的攻击事件,大部分都是通过利用SQL注入来实施的。
解决方案：

• 使用预编译语句
• 使用ORM框架
• 避免密码明文存放

洪水攻击

SYN Flood是当前最流行的DoS（拒绝服务攻击）与DDoS（分布式拒绝服务攻击）的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，常用假冒的IP或IP号段发来海量的请求连接的第一个握手包（SYN包），被攻击服务器回应第二个握手包（SYN+ACK包），因为对方是假冒IP，对方永远收不到包且不会回应第三个握手包。导致被攻击服务器保持大量SYN_RECV状态的“半连接”，并且会重试默认5次回应第二个握手包，塞满TCP等待连接队列，资源耗尽（CPU满负荷或内存不足），让正常的业务请求连接不进来。
解决方法：
1.超时释放，每一个连接超过一定的时长，不管是因为任何原因都会直接放弃对其的连接。
2.限流防刷

标签：web,请求,攻击,常见,SYN,网络攻击,SQL,服务器,连接
来源： https://blog.csdn.net/thelastsinger/article/details/120335650