web安全

客户端安全

1、跨站脚本攻击（XSS）

xss定义.PNG

危害：Cookie劫持

防御：

• Set-Cookie时给Cookie植入“HttpOnly”标识可以防止劫持（在cookie中设置了HttpOnly属性，那么通过js脚本将无法读取到cookie信息）；将Cookie与客户端IP绑定
• 用户输入检查（同时在客户端和服务端检查）

2、跨站点请求伪造（CSRF）

举例：用户在正常的网页浏览（如豆瓣已登录），此时有一个伪造的页面，而该页面上html里有个img标签的src属性值是操作豆瓣上用户某一资源的http请求，如删除某个帖子，这时只要用户打开了这个伪造页面，则会发生自己豆瓣帖子被删除的操作。能成功的原因是成功发生了Cookie。

浏览器Cookie策略.PNG p3p.PNG

防御：

验证码.PNG refer.PNG csrf本质.PNG token.PNG token使用注意.PNG

3、点击劫持（ClickJacking）

点击劫持定义.PNG 点击劫持.PNG

防御：
禁止跨域的iframe

x-frame-options.PNG
x-frame-options-2.PNG

服务端安全

1、注入攻击

SQL注入

注入攻击本质.PNG

防御：

• 检出数据类

• 使用预编译语句

  
  预编译语句.PNG

注入攻击小结.PNG

2、文件上传漏洞

文件上传漏洞.PNG

防御：

文件上传漏洞防御.PNG

DDOS

ddos介绍.jpg tcp三次握手.jpg SYN.jpg

应用层DDOS

应用层ddos介绍.jpg

主要是大量的查询数据库、读写硬盘文件操作会消耗较多资源
防御：

• 限制请求频率，通过ip和cookie
• 使用memcache

• 验证码

  
  应用层ddos防御.jpg