网站常见安全漏洞 | 青训营

Powered by:NEFU AB-IN

文章目录

  • 网站常见安全漏洞 | 青训营
    • 网站基本组成及漏洞定义
    • 服务端漏洞
      • SQL注入
      • 命令执行
      • 越权漏洞
      • SSRF
      • 文件上传漏洞
    • 客户端漏洞
      • 开放重定向
      • XSS
      • CSRF
      • 点击劫持
      • CORS跨域配置错误
      • WebSocket

网站常见安全漏洞 | 青训营

  • 网站常见安全漏洞-网站基本组成及漏洞定义

  • 网站常见安全漏洞-服务端漏洞介绍

  • 网站常见安全漏洞-客户端漏洞介绍

  • 网站常见安全漏洞-总结及强调网络安全法

网站基本组成及漏洞定义

image.png

网关在计算机网络中指的是连接两个不同网络或协议的设备或系统。它的作用是将传入的数据包从一个网络发送到另一个网络中,充当网络的出口或入口。网关可以实现网络之间的通信和数据传输。

网关的主要功能包括地址转换、协议转换、数据加密和解密、流量控制、访问控制等。它还负责将传入的数据包路由到正确的目标主机,并在多个网络之间进行数据传输和转发。

NGINX 是一款高性能的开源网络代理服务器,它可以用作反向代理服务器、负载均衡器、HTTP缓存和网关等。作为网关,NGINX可以处理与网络之间的数据交换,转发请求,并将请求流量分发到内部的服务器集群。通过配置NGINX,可以实现对外部请求的流量控制、访问控制和安全性增强等功能。

因此,可以说NGINX可以充当网关的角色,但它不仅仅是一个网关,还具备其他众多的功能。

image.png

网关是在计算机网络中起到连接不同网络或网络段之间的作用,它可以用于数据的路由、过滤、转换等功能。下面是一些常见的网关作用和工作流程例子:

  1. 路由网关:路由网关用于连接不同的网络,并根据数据包的目的地址,决定将数据包发送到哪个网络上。例如,Cisco的路由器就是一种常见的路由网关。

  2. 防火墙网关:防火墙网关用于监控和控制网络流量,以保护网络免受恶意攻击和未经授权的访问。例如,Checkpoint的防火墙就是一种常见的防火墙网关。

  3. SSL VPN网关:SSL VPN网关用于提供远程用户安全访问企业网络的功能,通过建立安全的虚拟专用网络(VPN)隧道,使远程用户可以安全地访问内部资源。例如,Juniper的SSL VPN网关就是一种常见的SSL VPN网关。

  4. API网关:API网关用于管理和保护企业的应用程序接口(API),它可以提供身份验证、访问控制、流量控制等功能。例如,Kong是一种常见的开源API网关。

网关的工作流程通常包括以下步骤:

  1. 接收数据包:网关从连接的网络或主机接收数据包。
  2. 解析数据包:网关解析数据包的头部信息,如源地址、目的地址、协议等。
  3. 决策处理:根据预设的策略和规则,网关决定如何处理该数据包,如路由到其他网络、进行访问控制、过滤等。
  4. 执行处理:网关执行相应的处理操作,如进行数据包的转发、修改数据包的内容等。
  5. 发送数据包:网关将处理后的数据包发送到下一个网络或主机。

举一个具体的网关实例是防火墙网关。当数据包进入防火墙网关时,网关会解析数据包的头部信息,如源IP地址、目的IP地址、端口号等。接着,网关根据预设的策略和规则,判断该数据包是否满足安全要求,如果不满足,网关可能会进行阻止或拦截处理;如果满足,网关可以根据策略将数据包转发到特定的网络或主机。同时,防火墙网关还可以对数据包进行深层次的检查和修改,以提供额外的安全保护。最后,网关将处理后的数据包发送到目标网络或主机。


image.png


服务端漏洞

  • 第三方组件漏洞 如log4j
  • SQL 注入
  • 命令执行
  • 越权漏洞
  • SSRF
  • 文件上传漏洞

SQL注入

可能查出别的数据,通过union select
image.png

  1. 直接拼接语句时不安全的,用ORM包,以对象的方式查询

  2. Mybatis 占位符

    • 若使用#,把它当成动态的字段,是直接拼接的效果,不存在漏洞
    • 若使用$,不会对参数值进行转义,会导致潜在的注入风险
      假设我们有一个查询用户信息的SQL语句:
    SELECT * FROM users WHERE username = $username
    

    假设攻击者输入的username参数为:' OR '1'='1'-- (注意末尾的注释符号,注释掉原本的闭合单引号,并追加额外的SQL语句,从而影响整个查询的逻辑),那么最终拼接的SQL语句将会变成:

    SELECT * FROM users WHERE username = '' OR '1'='1'--'
    

    这样,由于'1'='1'始终为真,攻击者可以绕过用户名验证,获取到所有的用户信息。

    使用#号可以防止这种注入攻击,因为#会将参数值进行转义并添加单引号,即使攻击者输入恶意字符,也不会产生注入漏洞。

  3. Golang常见错误写法

    比如是图片中插入一个if语句,1始终为真,一直执行第二个参数的内容,会让服务器休眠10s,就可以让外面判断是否可以SQL注入,从而可以进一步判断表明等等

    image.png

防护措施(对外部数据进行数据清理)

image.png


命令执行

image.png

防护方式

  • 设置白名单,只能操控这几个值
  • 设置黑名单,过滤字符

image.png


越权漏洞

类别

  • 未授权,不需要认证,拿到数据

  • 水平越权,查询同等级别的账户信息

    image.png

  • 垂直越权,使用别的权利

    image.png


SSRF

SSRF代表"Server-Side Request Forgery",翻译成中文是“服务器端请求伪造”。它是一种网络安全漏洞,攻击者可以通过操纵服务器发起的请求来访问、探测或攻击服务器内部的资源,甚至可能用于攻击内部系统。通常,攻击者会通过构造恶意请求来欺骗服务器,使其执行不安全的操作,例如向内部服务器发起HTTP请求或访问本地文件系统。

以下是一些SSRF的具体例子:

  1. 访问内部资源: 攻击者可以构造恶意请求,使服务器发起请求到内部的数据库、文件系统或其他敏感资源,然后将结果返回给攻击者。这可以用于获取敏感数据或执行未授权的操作。

  2. 绕过防火墙或内部网络访问限制: 攻击者可以利用SSRF来访问内部系统,绕过外部服务器的防火墙或网络访问控制列表,进而攻击内部系统。

  3. 攻击本地资源: 攻击者可以利用SSRF来尝试访问本地文件系统,例如file:///协议,从而读取或修改服务器上的文件。

  4. 攻击其他服务: 攻击者可以构造请求,使服务器发起攻击其他服务,例如发起DDoS攻击,这可能会导致其他服务不可用。

防止SSRF攻击通常涉及到验证和过滤输入,确保服务器不会发起恶意请求。此外,网络架构的设计也可以减轻SSRF的风险,如将服务器限制在受信任的网络环境中,以防止访问敏感资源。

防护方式

  1. 尽量这些不要让内网地址可以公网访问
  2. URL post只在白名单中选

image.png


文件上传漏洞

  • PHP脚本注入

  • image.png

防护方式

image.png


客户端漏洞

  • 开放重定向
  • XSS
  • CSRF
  • 点击劫持(clickjacking)
  • CORS跨域配置错误
  • WebSocket

开放重定向

可能后面的URL不可控

image.png


XSS

image.png

image.png

防护方法

对输入(标签和属性)进行控制,有些onload onclick后面可以跟代码,需要控制
image.png


CSRF

image.png

防护方式

image.png


点击劫持

image.png

不让使用 <iframe> 元素嵌入到一个网页中的另一个网页或站点

  • X-FRAME:deny 默认拒绝;sameorigin:允许
  • 配置白名单

image.png


CORS跨域配置错误

CORS代表"跨源资源共享"(Cross-Origin Resource Sharing),是一种用于在Web应用程序中处理跨域HTTP请求的安全机制。跨域请求是指一个网页上的代码试图向不同域(协议、域名或端口)的服务器发起HTTP请求。由于浏览器的同源策略(Same-Origin Policy)限制,跨域请求通常是被禁止的。CORS是一种通过浏览器的协作机制来允许跨域请求的方法。

image.png

Middleware(中间件)是一种常见的软件设计模式,它允许你在一个应用程序的请求-响应过程中插入、扩展或修改功能,而不需要修改应用程序的核心代码。中间件位于应用程序的处理流程中,可以对请求和响应进行预处理、后处理或者转换。
image.png


WebSocket

WebSocket(Web套接字)是一种用于在客户端和服务器之间进行全双工通信的网络协议。与传统的HTTP协议不同,WebSocket允许服务器主动向客户端发送数据,而不需要客户端明确地请求。这使得WebSocket非常适用于实时应用程序,如在线游戏、聊天应用、实时协作工具和实时数据传输等。

以下是WebSocket与HTTP之间的主要区别:

  1. 通信模式:

    • HTTP: HTTP是一种请求-响应协议,客户端发送请求,服务器返回响应,然后连接关闭。这是一种单向通信模式。
    • WebSocket: WebSocket是全双工协议,允许客户端和服务器之间建立持久连接,双方可以同时发送和接收数据,而不需要不断地建立和关闭连接。
  2. 连接开销:

    • HTTP: 每次客户端需要与服务器通信时,都需要建立一个新的HTTP连接,这需要时间和资源。
    • WebSocket: WebSocket连接是持久的,一旦建立,可以保持打开状态,允许实时通信,减少了连接开销。
  3. 协议头:

    • HTTP: HTTP协议的请求和响应通常包含大量的头部信息,这些头部信息用于描述请求的性质和服务器的响应。
    • WebSocket: WebSocket头部相对较小,协议更轻量级,因此在通信期间传输的数据量更小,延迟更低。
  4. 端口:

    • HTTP: HTTP通常使用标准端口80(HTTP)或443(HTTPS)。
    • WebSocket: WebSocket使用标准端口80或443,但也可以使用其他端口。
  5. 应用场景:

    • HTTP: 适用于传统的请求-响应应用程序,如网页浏览、RESTful API调用等。
    • WebSocket: 适用于需要实时双向通信的应用程序,如在线游戏、聊天应用、实时协作工具和实时数据传输。

总之,WebSocket是一种更适合实时和双向通信的协议,它在一次连接的基础上允许客户端和服务器之间进行长时间的数据交换。而HTTP更适用于传统的请求-响应模式,每个请求都是独立的,连接会在请求和响应之间关闭。选择使用哪种协议取决于应用程序的需求。

image.png

image.png

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/113811.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

【python爬虫】—图片爬取

图片爬取 需求分析Python实现 需求分析 从https://pic.netbian.com/4kfengjing/网站爬取图片&#xff0c;并保存 Python实现 获取待爬取网页 def get_htmls(pageslist(range(2, 5))):"""获取待爬取网页"""pages_list []for page in pages:u…

Rn实现省市区三级联动

省市区三级联动选择是个很频繁的需求&#xff0c;但是查看了市面上很多插件不是太老不维护就是不满足需求&#xff0c;就试着实现一个 这个功能无任何依赖插件 功能略简单&#xff0c;但能实现需求 核心代码也尽力控制在了60行左右 pca-code.json树型数据来源 Administrative-d…

【Linux】基础IO

目录 一、回顾C语言文件操作二、文件系统调用接口1. open2.write3.read 三、文件描述符四、重定向1.输出重定向2.输入重定向 五、dup2 一、回顾C语言文件操作 1 #include<stdio.h>2 #include<stdlib.h>3 4 #define LOG "log.txt"5 6 int main()7 {8 //…

语言基础篇3——学习第一步,Python环境搭建

环境搭建 基础环境搭建 https://www.python.org/downloads/&#xff0c;以Python3.11.5为例&#xff1a; Install for Windows 提供安装程序或者压缩包&#xff0c;安装程序点击下一步即可&#xff0c;压缩包解压即可&#xff0c;注意配置根目录到系统环境变量PATH。 Ins…

Configurable Weather Parameters

1. Weather Parameters 2. Classification ClearNoon, CloudyNoon, WetNoon, WetCloudyNoon, SoftRainNoon, MidRainyNoon, HardRainNoon, ClearSunset, CloudySunset, WetSunset, WetCloudySunset, SoftRainSunset, MidRainSunset, HardRainSunset to do list: 可以关注一下…

导入excel数据给前端Echarts实现中国地图-类似热力图可视化

导入excel数据给前端Echarts实现中国地图-类似热力图可视化 程序文件&#xff1a; XinqiDaily/frontUtils-showSomeDatabaseonMapAboutChina/finalproject xin麒/XinQiUtilsOrDemo - 码云 - 开源中国 (gitee.com) https://gitee.com/flowers-bloom-is-the-sea/XinQiUtilsOr…

贪心算法总结篇

文章转自代码随想录 贪心算法总结篇 我刚刚开始讲解贪心系列的时候就说了&#xff0c;贪心系列并不打算严格的从简单到困难这么个顺序来讲解。 因为贪心的简单题可能往往过于简单甚至感觉不到贪心&#xff0c;如果我连续几天讲解简单的贪心&#xff0c;估计录友们一定会不耐…

地下管线三维自动建模软件MagicPipe3D V3.0发布

2023年9月1日经纬管网建模系统MagicPipe3D V3.0正式发布&#xff0c;该版本经过众多用户应用和反馈&#xff0c;在三维地下管网建模效果、效率、适配性方面均有显著提升&#xff01;MagicPipe3D本地离线参数化构建地下管网模型&#xff08;包括管道、接头、附属设施等&#xff…

OpenCV(五):图像颜色空间转换

目录 1.图像颜色空间介绍 RGB 颜色空间 2.HSV 颜色空间 3.RGBA 颜色空间 2.图像数据类型间的互相转换convertTo() 3.不同颜色空间互相转换cvtColor() 4.Android JNI demo 1.图像颜色空间介绍 RGB 颜色空间 RGB 颜色空间是最常见的颜色表示方式之一&#xff0c;其中 R、…

linux安装JDK及hadoop运行环境搭建

1.linux中安装jdk &#xff08;1&#xff09;下载JDK至opt/install目录下&#xff0c;opt下创建目录soft&#xff0c;并解压至当前目录 tar xvf ./jdk-8u321-linux-x64.tar.gz -C /opt/soft/ &#xff08;2&#xff09;改名 &#xff08;3&#xff09;配置环境变量&#xf…

C++哈希(散列)与unordered关联式容器封装(Map、Set)

一、unordered系列关联式容器 在C98中&#xff0c;STL提供了以红黑树为底层数据结构的关联式容器&#xff08;map、set等&#xff09;&#xff0c;查询时的效率可以达到,最差情况下需要比较红黑树的高度次。因此在C11中&#xff0c;STL提供了四个unordered系列关联式容器&…

CotEditor for mac 4.0.1 中文版(开源文本编辑器)

coteditorformac是一款简单实用的基于Cocoa的macOS纯文本编辑器&#xff0c;coteditormac版本可以用来编辑网页、结构化文本、程序源代码等文本文件&#xff0c;使用起来非常方便。 CotEditor for Mac具有正则表达式搜索和替换、语法高亮、编码等实用功能&#xff0c;而CotEdi…

JavaScript(函数,作用域和闭包)

目录 一&#xff0c;什么是函数1.1&#xff0c;常用系统函数1.2&#xff0c;函数声明 1.3&#xff0c;函数表达式二&#xff0c;预解析2.1&#xff0c;函数自调用 2.2&#xff0c;回调函数三&#xff0c;变量的作用域3.1&#xff0c;隐式全局变量 四&#xff0c;作用域与块级作…

AUTOSAR开发工具DaVinci Configurator里的Modules

DaVinci Configurator 里面有个Module这个概念。 如你所想&#xff0c;基本上跟AUTOSAR架构里面的Module相对应 从软件的Project菜单中的Basic Editor项可以打开 打开这个菜单后&#xff0c;会看到很多Modules项以及其相关配置项 这个Basic Editor显示出整个ECU配置中的所有…

ABeam×Startup | 德硕管理咨询(深圳)创新研究团队拜访微漾创客空间

近日&#xff0c;德硕管理咨询&#xff08;深圳&#xff09;&#xff08;以下简称&#xff1a;“ABeam-SZ”&#xff09;创新研究团队前往微漾创客空间&#xff08;以下简称&#xff1a;微漾&#xff09;拜访参观&#xff0c;并展开合作交流。会议上&#xff0c;双方相互介绍了…

Module not found: Error: Can‘t resolve ‘less-loader‘解决办法

前言&#xff1a; 主要是在自我提升方面&#xff0c;感觉自己做后端还是需要继续努力&#xff0c;争取炮筒前后端&#xff0c;作为一个全栈软阿金开发人员&#xff0c;所以还是需要努力下&#xff0c;找个方面&#xff0c;目前是计划学会Vue&#xff0c;这样后端有java和pytho…

Spring Security 超详细整合 JWT,能否拿下看你自己!

文章目录 1.JWT 入门1.1 JWT 概念1.2 JWT 应用场景1.3 为何选择 JWT基于 Session 的传统认证基于 JWT 的认证 1.4 JWT 的结构标头&#xff08;Header&#xff09;载荷&#xff08;Payload&#xff09;签名&#xff08;Signature&#xff09; 1.5 RBAC (Role-Based Access Contr…

day-01 Docker

一、docker简介 Docker 是一种开源的容器化平台&#xff0c;它可以帮助开发人员将应用程序及其依赖项打包成一个独立的、可移植的容器&#xff0c;而无需担心环境差异和依赖问题。通过使用 Docker&#xff0c;您可以更轻松地创建、分发和运行应用程序&#xff0c;无论是在开发、…

最新AI系统ChatGPT镜像源码+详细图文搭建教程/支持GPT4.0/AI绘画+MJ绘画/Dall-E2绘画/H5端/Prompt知识库/思维导图生成

一、AI系统 如何搭建部署AI创作ChatGPT系统呢&#xff1f;小编这里写一个详细图文教程吧&#xff01;SparkAi使用Nestjs和Vue3框架技术&#xff0c;持续集成AI能力到AIGC系统&#xff01; 1.1 程序核心功能 程序已支持ChatGPT3.5/GPT-4提问、AI绘画、Midjourney绘画&#xf…

uview ui 1.x ActonSheet项太多,设置滚动(亲测有效)

问题&#xff1a;ActionSheet滚动不了。 使用uview ui &#xff1a;u-action-sheet, 但是item太多&#xff0c;超出屏幕了&#xff0c; 查了一下文档&#xff0c;并没有设置滚动的地方。 官方文档&#xff1a;ActionSheet 操作菜单 | uView - 多平台快速开发的UI框架 - uni-a…