WEB服务安全问题概述
· 阅读需 5 分钟
常见漏洞类型
- 分布式拒绝服务攻击（DDoS - Distributed Denial of Service） DDoS 攻击通过让大量的设备同时向目标服务器发送请求，耗尽其资源，导致服务器无法处理正常的请求，最终使服务无法使用。
-
目标 ：服务器、网站或网络资源。
-
方法 ：利用僵尸网络（Botnet）来发起大规模流量攻击。
- SQL 注入（SQL Injection） SQL 注入是一种攻击方式，攻击者通过输入恶意 SQL 代码，绕过身份验证或操纵数据库查询，访问或修改敏感数据。
-
目标 ：使用 SQL 数据库的网站或应用程序。
-
后果 ：窃取或删除数据库中的敏感信息，或篡改应用行为。
- 跨站脚本攻击（XSS - Cross-Site Scripting） XSS 是一种代码注入攻击，攻击者通过向网页注入恶意脚本，当用户浏览受感染的网页时，恶意代码在用户的浏览器中执行。
-
目标 ：Web 应用程序用户。
-
后果 ：窃取用户的会话令牌、用户凭证，或者在用户浏览器上执行恶意操作。
- 暴力破解（Brute Force Attack） 暴力破解是一种尝试所有可能的密码组合，直到找到正确密码的攻击方法。
-
目标 ：用户登录系统、SSH、RDP 等需要密码的系统。
-
防御 ：使用强密码、账户锁定策略和双因素认证。
- 文件包含攻击（File Inclusion Attack） 这种攻击发生在 Web 应用程序允许用户动态加载文件的情况下。攻击者利用漏洞加载恶意文件，执行不安全操作。
-
目标 ：PHP、ASP 等动态加载文件的 Web 应用程序。
-
后果 ：攻击者可能获得服务器的控制权或敏感数据。
- 跨站请求伪造（CSRF - Cross-Site Request Forgery） CSRF 攻击诱骗已登录的用户在未察觉的情况下执行恶意操作。例如，在用户登录某网站时，诱导其点击特制的链接，导致未经授权的操作。
-
目标 ：Web 应用中的合法用户。
-
后果 ：攻击者可以利用用户的身份执行未经授权的操作。
authentication 和 authorization 区别
总结：
| 特性 | Authentication（身份验证） | Authorization（授权） |
|---|---|---|
| 目的 | 确认用户身份（你是谁） | 决定用户能做什么（有什么权限） |
| 过程 | 验证用户凭证（用户名、密码、指纹等） | 检查用户是否有权限访问特定资源或执行特定操作 |
| 顺序 | 首先进行身份验证 | 身份验证之后进行授权 |
| 实例 | 用户输入用户名和密码，系统验证其合法性 | 用户登录后，系统决定用户能否查看特定页面或文件 |
| 应用范围 | 登录、身份识别、用户认证系统 | 权限管理、资源访问控制、功能限制 |
实际场景：
-
身份验证 ：你输入用户名和密码登录银行网站。
-
授权 ：你登录成功后，银行网站决定你可以查看账户余额，但不能访问管理员功能。
在实际应用中，身份验证和授权经常结合使用。例如，在 OAuth 2.0 中，用户首先 通过身份验证登录（Authentication），然后授权应用程序访问其资源（Authorization）。