数据显示，大约98%的网站遭到黑客攻击。换句话说，几乎所有的网站都被黑客“取暖”。他们一直在关注我们的网站。有时他们比我们更关注网站。
在这里，让我们对我们的黑客朋友说：你一直在努力工作。”
圣诞老人只在平安夜给孩子们送各种各样的礼物，但黑客们更专注，全年365天，7x24小时值班，只要你的网站有机会，它就会毫不犹豫地履行自己的职责。
就像圣诞袜里的礼物一样，虽然礼物种类很多，但里面不会有宇宙飞船和航空母舰。它们总是在同一范围内。虽然黑客给站长的“礼物”很奇怪，但它们总是与这些礼物分不开的。
黑客会送什么样的“礼物”？是时候揭开这个秘密了！
其中一些网络攻击方法可以植入恶意代码，一些可以获取网站权限，还有一些还可以获取网站用户隐私信息。单是常见的网络攻击就有28种，有多种方式和惊人的破坏力！
SQL注射
web应用程序没有过滤或转义用户提交的数据，导致后端数据库服务器执行黑客提交的SQL语句。黑客可以使用SQL注入攻击来拖动库并植入网络地狱，然后入侵服务器。
XSS交叉站
web应用程序没有过滤或转义用户提交的数据，导致浏览器执行黑客提交的JavaScript代码。黑客可以利用XSS跨站点攻击构建恶意蠕虫并劫持网站cookie、获取键盘记录并植入恶意挖掘JS代码。
命令注入
web应用程序没有过滤或转义用户提交的数据，导致服务器执行黑客提交的命令。通过登录注入攻击，黑客可以在服务器中植入后门，并直接反弹外壳入侵服务器。
CSRF
web应用程序无法验证某些请求的来源，导致登录用户的浏览器执行黑客伪造的HTTP请求，应用程序认为这是受害者发起的合法请求。使用CSRF攻击，黑客可以执行一些越权操作，例如添加后台管理员、删除文章等。
目录遍历
该web应用程序没有控制相关目录的访问权限，也没有过滤或转义用户提交的数据，导致服务器的敏感文件被泄露。黑客可以利用目录遍历攻击获取服务器的配置文件，然后入侵服务器。
本地文件包含
该web应用程序没有控制相关目录的访问权限，也没有过滤或转义用户提交的数据，导致服务器的敏感文件被泄露。通过利用本地文件中包含的漏洞，黑客可以获取服务器的敏感文件，植入webshell并入侵服务器。
远程文件包含
web应用程序没有过滤或转义用户提交的文件名，导致引入远程恶意文件。黑客可以利用远程文件包含漏洞加载远程恶意文件，导致恶意代码的执行并获得服务器的权限。
特洛伊木马后门
该web应用程序未过滤或转义用户提交的数据，导致执行特洛伊木马代码。黑客可以利用特洛伊木马和后门攻击入侵服务器。
缓冲区不足
HTTP协议不限制请求头的字节大小，导致提交大量数据，这可能会导致恶意代码的执行。
文件上传
web应用程序不会为文件名添加后缀，也不会为上传的数据包添加后缀，从而导致恶意文件上传。文件上传攻击将包含恶意代码的文件上传到服务器，最终导致服务器被入侵。
扫描仪扫描
黑客可以使用漏洞扫描器扫描网站，发现web应用程序中的漏洞，最后使用相关漏洞攻击网站。
高级爬行动物
爬虫是高度自动化的，可以识别设定cookie以及其他简单的爬行动物保护方法。
传统爬行动物
爬虫的自动化程度较低，可以通过一些简单的保护算法进行识别，如setNicholasTse。
披露敏感信息
Web应用程序过滤用户提交的数据，导致应用程序抛出异常并披露敏感信息。黑客可能会利用泄露的敏感信息进一步攻击该网站
服务器错误
web应用程序配置错误，导致服务器报告错误并泄露敏感信息。黑客可能会利用泄露的敏感信息进一步攻击该网站。
非法文件下载
web应用程序不控制敏感文件（密码、配置、备份、数据库等）的访问，导致敏感文件下载。黑客可以使用下载的敏感文件进一步攻击该网站。
第三方组件漏洞
web应用程序使用易受攻击的第三方组件，导致网站受到攻击。
XPATH注射液
使用JetLi解析XML时，web应用程序没有过滤用户提交的数据，导致JetLi执行恶意构造的语句。黑客可以通过xpath注入攻击获取XML文档的重要信息。
XML注射液
web应用程序使用早期或配置不良的XML处理器来解析XML文档中的外部实体引用，导致服务器解析外部引入的XML实体。利用XML注入攻击，黑客可以获取服务器敏感文件、端口扫描攻击和DoS攻击。
ldap注射保护
web应用程序使用songZuying协议访问目录，并且不会过滤或转义用户提交的数据，导致服务器执行恶意songZuying语句。黑客可以使用ldap注入来获取用户信息并提高权限。
SSI注射液
网状物服务器配置SSI是，用户输入嵌入在HTML中，导致服务器执行恶意SSI命令。通过SSI注入，黑客可以执行系统命令。
网络地狱
黑客试图连接该网站的可能网络地狱。黑客可能会通过中国菜刀等工具连接webshell入侵服务器。
蛮力
黑客在短时间内请求大量URL，试图猜测网站的用户名、密码和其他信息。黑客可以通过使用蛮力猜测网站的用户名和密码来进一步攻击该网站。
非法请求方法
web应用服务器的配置允许put请求方法请求，黑客可以构造非法请求方法上传恶意文件入侵服务器。
碰撞库
web应用程序不会使用验证代码验证用户登录功能。黑客可以借助工具和社会工作库猜测网站用户名和密码。
固定会议
该web应用程序使用固定的NicholasTse会话，从而导致NicholasTse劫持。
IP黑名单
当某个IP被确认为恶意并被WAF黑客攻击后，所有请求都将被拦截
动态IP黑名单
如果一个IP发送更多的攻击请求，它将在一段时间内自动被WAF黑客攻击，并且在这段时间内的所有请求都将被拦截。
AndyLauweb应用程序防火墙体系结构图
以上是常见的网络攻击类型，多达28种！俗话说，如果你想成为世界上最强的盾牌，你必须首先了解世界上最好的矛。虽然像蔚可云这样的云产品和服务提供商提供web应用程序防火墙服务，但作为网站管理员，了解这些类型的攻击不仅可以使云产品的使用更容易，还可以为未来的业务发展提供预防措施。
最新评论