>>>>>信息安全工程师培训视频

      全国计算机技术与软件专业技术资格（水平）考试，这门新开的信息安全工程师分属该考试“信息系统”专业，位处中级资格。教材《信息安全工程师教程》及考试大纲于7月1日出版，希赛小编整理了信息安全工程师教程学习笔记之Web安全威胁防护技术，供大家参考学习。

      几种常见的应用攻击及其防护方法

      在OWASP发布的报告中重点指出了两个概率较高的攻击手段，它们分别是“注入缺陷”（Injection Flaws）和“跨站点脚本攻击”（Cross-Site Scripting）。而在CNCERT最新发布的《2013年我国互联网网络安全态势综述》的报告中，还重点提及了“网站篡改”和“拒绝服务攻击(DOS)”正成为影响企业WEB应用正常使用的新的攻击手段。下面说明这四种攻击是如何实施的

      1、SQL注入

      SQL注入攻击是通过巧妙构造的SQL语句，附加在网页提交的内容中进行注入攻击。比较常用的手段有使用注释符号、恒等式（如1＝1）、使用union语句进行联合查询、利用“；”+insert或update语句插入或修改数据等，此外还可以利用一些数据库内置函数辅助攻击。

      通过SQL注入漏洞攻击网站的步骤一般如下：

      第一步：探测网站是否存在SQL注入漏洞。

      第二步：探测后台数据库的类型。

      第三步：根据后台数据库的类型，探测系统表的信息。

      第四步：探测存在的表信息。

      第五步：探测表中存在的列信息。第六步：探测表中的数据信息。

      2、跨站脚本攻击

      跨站脚本攻击是说攻击者会向一些访问量大、影响范围广的Web页面里插入恶意html代码，那么一旦普通用户浏览该页面时，嵌入到Web页面里的恶意代码就会被执行，从而达到攻击者的特殊目的。跨站脚本攻击的对象往往是Web页面的浏览者甚至可能是与代码嵌入页面无关的其它网站，而非Web应用系统本自己。跨站脚本攻击是一种被动式攻击，需要访问到特定的Web页面才能实施攻击。因为其对当前Web应用自身没有影响，所以经常被人忽略其危害性。

      跨站脚本攻击得以实现的前提是可以在Web页面中插入特定的html代码，这一般是通过利用Web应用对提交数据的检查漏洞来完成。例如前段时间国内某著名网站的一个XSS跨站脚本漏洞就导致了一起大规模DDoS攻击。攻击者利用这个漏洞在该网站的用户头像标签中注入恶意代码，随后攻击者在利用该头像大量发布评论。此时一旦有普通用户访问含有恶意代码的页面时这些代码就被会执行，触发了一个基于Ajax脚本的DDoS工具，从而使用户浏览器在用户访问该网站的这段时间内以每秒一次的频率向目标攻击网站发送请求。因为该网站在线活跃用户多，在线时间长，导致了被攻击网站经受了长时间、大访问量的DDOS攻击。

      3、“暗链”

      “暗链”顾名思义就是看不见的网站链接，“暗链”在网站中的链接做的非常隐蔽，它一般不会被用户或者管理员发现，“暗链”主要有以下这些特点。

      对被暗链攻击的对象隐形。

      对搜索引擎的网页结果显形。暗链攻击的技术要点是利用搜索引擎技术的漏洞，旨在借助被暗链攻击网站、网页、网页内容、网页文章的主题和关键词的知名度。挂黑链，暗链的方法千奇百怪，可以用css的，也可用脚本的，其他什么都有，而且就算是同样的使用css方法也有几百上千种。

      4、客户端异常连接与DDOS

      DDOS即分布式拒绝服务攻击。分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在Internet上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。

      拒绝服务攻击即攻击者通过消耗目标机器的资源从而导致目标机器停止提供服务或资源访问。这些资源包括CPU进程、内存空间、磁盘IO和空间和网络带宽等。所有只要能够对目标资源和服务造成麻烦，使某些服务停止甚至主机死机，都属于拒绝服务攻击。拒绝服务攻击问题一直无法合理解决，究其原因是由于网络协议本身的安全缺陷造成的，因此拒绝服务攻击成为了攻击者的终极手段。攻击者通过拒绝服务攻击实现了两大结果：一是迫使服务器的缓冲区满，不接收新的请求；二是使用IP欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接。

    返回目录：信息安全工程师教程学习笔记之应用安全工程

    希赛软考网，拥有十四年软考培训经验，希赛网一直坚持自主研发，将丰富的软考培训经验有效融入教程研发过程，自成体系的软考在线题库（软考历年真题）、软考培训教材和软考视频教程，多样的培训方式包括在线辅导、面授、和，使考生的学习更具系统性，辅导更具针对性。采用全程督学机制，，软考平均通过率在全国。