千鋒教育-做有情懷、有良心、有品質(zhì)的職業(yè)教育機(jī)構(gòu)
關(guān)注千鋒學(xué)習(xí)站小程序
隨時(shí)隨地免費(fèi)學(xué)習(xí)課程
通過(guò)在千鋒360網(wǎng)絡(luò)安全培訓(xùn)的學(xué)習(xí),發(fā)現(xiàn)越來(lái)越對(duì)網(wǎng)絡(luò)安全產(chǎn)生了濃厚的興趣。在這一個(gè)月的學(xué)習(xí)中,最重要的體會(huì)是學(xué)習(xí)能力的提高,和學(xué)習(xí)方法的改變。學(xué)習(xí)一個(gè)知識(shí)時(shí),不要要求自己每個(gè)知識(shí)點(diǎn)都學(xué)會(huì),實(shí)際上你也不能把知識(shí)點(diǎn)完全掌握,因此有些部分學(xué)完之后不是很理解,就不要在這上面花太多時(shí)間,先把這個(gè)知識(shí)部分都學(xué)習(xí)一遍,就可以大致了解哪些是重點(diǎn),哪些是難點(diǎn),然后針對(duì)性的學(xué)習(xí)。
下面總結(jié)一下最近學(xué)習(xí)知識(shí):常見(jiàn)的web攻擊類(lèi)型。
1、sql注入
由于程序中對(duì)用戶(hù)輸入檢查不嚴(yán)格,用戶(hù)可以提交一段數(shù)據(jù)庫(kù)查詢(xún)代碼,根據(jù)程序返回的結(jié)果,獲得某些他想得知的數(shù)據(jù),這就是所謂的SQL Injection,即SQL注入。對(duì)于輸入檢查不充分,導(dǎo)致SQL語(yǔ)句將用戶(hù)提交的非法數(shù)據(jù)當(dāng)作語(yǔ)句的一部分來(lái)執(zhí)行。
2、XSS跨站腳本攻擊有三種類(lèi)型:
反射型:跨站代碼一般存在于鏈接中,請(qǐng)求這樣的鏈接時(shí),跨站代碼經(jīng)過(guò)服務(wù)端反射回來(lái),這類(lèi)跨站的代碼一般不存儲(chǔ)到服務(wù)端
存儲(chǔ)型:這是利用起來(lái)最方便的跨站類(lèi)型,跨站代碼存儲(chǔ)于服務(wù)端(比如數(shù)據(jù)庫(kù)中)
dom型:DOM的跨站,這是客戶(hù)端腳本自身解析不正確導(dǎo)致的安全問(wèn)題
3、CSRF
跨站點(diǎn)請(qǐng)求偽造,通常用來(lái)指web網(wǎng)站的這一類(lèi)漏洞,即在某個(gè)惡意站點(diǎn)的頁(yè)面上,促使訪問(wèn)者請(qǐng)求被攻擊者的網(wǎng)站的某個(gè) URL,從而達(dá)到改變服務(wù)器端數(shù)據(jù)的目的。
在頁(yè)面中加入一個(gè)標(biāo)簽,瀏覽器就會(huì)發(fā)送一個(gè)請(qǐng)求,以獲取其src屬性引用的值攻擊者將敏感操作的URI作為src 繼承Cookie,以瀏覽者的身份作敏感訪問(wèn)并操作。
4、SSRF 服務(wù)器端請(qǐng)求偽造
利用web服務(wù)器需要向內(nèi)網(wǎng)服務(wù)器請(qǐng)求資源時(shí),未對(duì)目的ip進(jìn)行限制的的漏洞。利用技巧有@符號(hào),localhost,短地址,DNS解析等。
以上這些知識(shí)點(diǎn),只是千鋒360網(wǎng)絡(luò)安全培訓(xùn)中一點(diǎn)而已,如果你想要了解學(xué)習(xí)更多網(wǎng)絡(luò)安全培訓(xùn)的技術(shù),那么不妨選擇千鋒360網(wǎng)絡(luò)安全培訓(xùn)。
移動(dòng)安全網(wǎng) 報(bào)道:http://www.ydhacker.com/hotnews/2018/1116/111625QH018.html
相關(guān)文章
了解千鋒動(dòng)態(tài)
關(guān)注千鋒教育服務(wù)號(hào)
掃一掃快速進(jìn)入
千鋒移動(dòng)端頁(yè)面
掃碼匿名提建議
直達(dá)CEO信箱