网站攻击类型_几种常见的网站攻击

*** 攻击的几种类型

*** 攻击（Cyber

Attacks，也称赛博攻击）是指针对计算机信息系统、基础设施、计算机 *** 或个人计算机设备的，任何类型的进攻动作。对于 计算机 和计算机 *** 来说，破坏、揭露、修改、使软件或服务失去功能、在没有得到授权的情况下偷取或访问任何一计算机的数据，都会被视为于计算机和计算机 *** 中的攻击。

*** 攻击的种类

1、主动攻击

主动攻击会导致某些数据流的篡改和虚假数据流的产生。这类攻击可分为篡改、伪造消息数据和终端（拒绝服务）。

（1）篡改消息

篡改消息是指一个合法消息的某些部分被改变、删除，消息被延迟或改变顺序，通常用以产生一个未授权的效果。如修改传输消息中的数据，将“允许甲执行操作”改为“允许乙执行操作”。

（2）伪造

伪造指的是某个实体（人或系统）发出含有其他实体身份信息的数据信息，假扮成其他实体，从而以欺骗方式获取一些合法用户的权利和特权。

（3）拒绝服务

拒绝服务即常说的DoS（Deny of Service），会导致对通讯设备正常使用或管理被无条件地中断。通常是对整个 *** 实施破坏，以达到降低性能、终端服务的目的。这种攻击也可能有一个特定的目标，如到某一特定目的地（如安全审计服务）的所有数据包都被阻止。

2、被动攻击

被动攻击中攻击者不对数据信息做任何修改，截取/窃听是指在未经用户同意和认可的情况下攻击者获得了信息或相关数据。通常包括窃听、流量分析、破解弱加密的数据流等攻击方式。

（1）流量分析

流量分析攻击方式适用于一些特殊场合，例如敏感信息都是保密的，攻击者虽然从截获的消息中无法的到消息的真实内容，但攻击者还能通过观察这些数据报的模式，分析确定出通信双方的位置、通信的次数及消息的长度，获知相关的敏感信息，这种攻击方式称为流量分析。

（2）窃听

窃听是最常用的手段。应用最广泛的局域网上的数据传送是基于广播方式进行的，这就使一台主机有可能受到本子网上传送的所有信息。而计算机的网卡工作在杂收模式时，它就可以将 *** 上传送的所有信息传送到上层，以供进一步分析。如果没有采取加密措施，通过协议分析，可以完全掌握通信的全部内容，窃听还可以用无限截获方式得到信息，通过高灵敏接受装置接收 *** 站点辐射的电磁波或 *** 连接设备辐射的电磁波，通过对电磁信号的分析恢复原数据信号从而获得 *** 信息。尽管有时数据信息不能通过电磁信号全部恢复，但可能得到极有价值的情报。

由于被动攻击不会对被攻击的信息做任何修改，留下痕迹很好，或者根本不留下痕迹，因而非常难以检测，所以抗击这类攻击的重点在于预防，具体措施包括虚拟专用网VPN，采用加密技术保护信息以及使用交换式 *** 设备等。被动攻击不易被发现，因而常常是主动攻击的前奏。

被动攻击虽然难以检测，但可采取措施有效地预防，而要有效地防止攻击是十分困难的，开销太大，抗击主动攻击的主要技术手段是检测，以及从攻击造成的破坏中及时地恢复。检测同时还具有某种威慑效应，在一定程度上也能起到防止攻击的作用。具体措施包括自动审计、入侵检测和完整性恢复等。

攻击的 *** 主要有：

[if !supportLists]·        [endif]口令入侵

[if !supportLists]·        [endif]特洛伊木马

[if !supportLists]·        [endif]WWW欺骗

[if !supportLists]·        [endif]电子邮件

[if !supportLists]·        [endif]节点攻击

[if !supportLists]·        [endif] *** 监听

[if !supportLists]·        [endif]黑客软件

[if !supportLists]·        [endif]安全漏洞

[if !supportLists]·        [endif]端口扫描

如何避免 *** 攻击呢，之一种是同源检测的 ***

服务器根据 http 请求头中 origin 或者referer 信息来判断请 求是否为允许访问的站点，从而对请求进行过滤。当 origin 或者 referer 信息都不存在的 时候，直接阻止。这种方式的缺点是有些情况下referer 可以被伪造。还有就是我们这种 *** 同时把搜索引擎的链接也给屏蔽了，所以一般网站会允许搜索引擎的页面请求，但是相应的页面 请求这种请求方式也可能被攻击者给利用。

第二种 *** 是使用 CSRF Token 来进行验证

服务器向用户返回一个随机数 Token ，当网站 再次发起请求时，在请求参数中加入服务器端返回的 token ，然后服务器对这个 token 进行 验证。这种 *** 解决了使用 cookie 单一验证方式时，可能会被冒用的问题，但是这种 *** 存在一个缺点就是，我们需要给网站中的所有请求都添加上这个 token，操作比较繁琐。还有一 个问题是一般不会只有一台网站服务器，如果我们的请求经过负载平衡转移到了其他的服务器，但是这个服务器的 session 中没有保留这个 token 的话，就没有办法验证了。这种情况我们可以通过改变 token 的构建方式来解决。

第三种方式使用双重 Cookie 验证的办法

服务器在用户访问网站页面时，向请求域名注入一个 Cookie，内容为随机字符串，然后当用户再次向服务器发送请求的时候，从cookie 中取出 这个字符串，添加到 URL 参数中，然后服务器通过对 cookie 中的数据和参数中的数据进行比 较，来进行验证。使用这种方式是利用了攻击者只能利用 cookie，但是不能访问获取 cookie 的特点。并且这种 *** 比 CSRF Token 的 *** 更加方便，并且不涉及到分布式访问的问题。这 种 *** 的缺点是如果网站存在 XSS 漏洞的，那么这种方式会失效。同时这种方式不能做到子域 名的隔离。

第四种方式Samesite Cookie

是使用在设置 cookie 属性的时候设置 Samesite限制 cookie 不能作为被第三 方使用，从而可以避免被攻击者利用。Samesite 一共有两种模式，一种是严格模式，在严格模式下 cookie 在任何情况下都不可能作为第三方 Cookie 使用，在宽松模式下，cookie 可以 被请求是 GET 请求，且会发生页面跳转的请求所使用。

Samesite Cookie 表示同站 cookie，避免 cookie 被第三方所利用。将 Samesite 设为 strict ，这种称为严格模式，表示这个 cookie 在任何情况下都不可能作 为第三方 cookie。将 Samesite 设为 Lax ，这种模式称为宽松模式，如果这个请求是个 GET 请求，并且这个请求改变了当前页面或者打开了新的页面，那么这个 cookie 可以作为第三方 cookie，其余情 况下都不能作为第三方 cookie。

使用这种 *** 的缺点是，因为它不支持子域，所以子域没有办法与主域共享登录信息，每次转入子域的网站，都回重新登录。还有一个问题就是它的兼容性不够好。

常见 *** 安全攻击有哪些

1、DoS和DDoS攻击

DoS是Denial of

Service的简称，即拒绝服务。单一的DoS攻击一般是采用一对一方式的，通过制造并发送大流量无用数据，造成通往被攻击主机的 *** 拥塞，耗尽其服务资源，致使被攻击主机无法正常和外界通信。

DDos全称Distributed Denial of Service，分布式拒绝服务攻击。攻击者可以伪造IP 地址，间接地增加攻击流量。通过伪造源 IP

地址，受害者会误认为存在大量主机与其通信。黑客还会利用IP 协议的缺陷,对一个或多个目标进行攻击,消耗 *** 带宽及系统资源,使合法用户无法得到正常服务。

2、MITM攻击

中间人类型的 *** 攻击是指 *** 安全漏洞，使得攻击者有可能窃听两个人、两个 *** 或计算机之间来回发送的数据信息。在MITM攻击中，所涉及的两方可能会觉得通信正常，但在消息到达目的地之前，中间人就非法修改或访问了消息。

3、 *** 钓鱼攻击

*** 钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息的一种攻击方式。

攻击者可能会将自己伪装成 *** 银行、在线零售商和信用卡公司等可信的品牌，骗取用户的私人信息。最常见的是向用户发送链接，通过欺骗用户下载病毒等恶意软件，或提供私人信息来完成诈骗。在许多情况下，目标可能没有意识到他们已被入侵，这使得攻击者可以在没有任何人怀疑恶意活动的情况下获取同一组织中更多的相关信息。

在打开的电子邮件类型和单击的链接时要格外留意电子邮件标题，检查回复和返回路径的参数。不要点击任何看起来可疑的东西，也不要在网上留下可以证明自己身份的任何资料，包括手机号码、身份证号、银行卡号码等。

4、鲸鱼 *** 钓鱼攻击

之所以如此命名，是因为它针对的是组织的大鱼。通常包括更高管理层或其他负责组织的人，这些人掌握着企业或其运营的专有信息，更有可能为了买断信息而支付赎金。

鲸鱼 *** 钓鱼攻击可以通过采取相同的预防措施来避免攻击，例如仔细检查电子邮件及其随附的附件和链接，留意可疑的目的地或参数。

5、鱼叉式 *** 钓鱼攻击

鱼叉式 *** 钓鱼攻击是指一种有针对性的 *** 钓鱼攻击，攻击者花时间研究他们的预期目标，通过编写与目标相关性极强的消息来完成攻击。通常鱼叉式 *** 钓鱼攻击使用电子邮件欺骗，电子邮件发送人可能是目标信任的人，例如社交 *** 中的个人、密友或商业伙伴，使得受害者难以发觉。

6、勒索软件

勒索软件是一种流行的木马，通过骚扰、恐吓甚至采用绑架用户文件等方式，使用户数据资产或计算资源无法正常使用，并以此为条件向用户勒索钱财。这类用户数据资产包括文档、邮件、数据库、源代码、图片、压缩文件等多种文件。赎金形式包括真实货币、比特币或其它虚拟货币。

7、密码攻击

密码是大多数人访问验证的工具，因此找出目标的密码对黑客来说非常具有吸引力。攻击者可能试图拦截 *** 传输，以获取未经 *** 加密的密码。他们通过引导用户解决看似重要的问题来说服目标输入密码。

一些安全性较低的密码很容易被攻击者获取，例如“1234567”。此外，攻击者还经常使用暴力破解 *** 来猜测密码，即使用有关个人或其职位的基本信息来尝试猜测他们的密码。例如，通过组合用户的姓名、生日、周年纪念日或其他个人信息破译密码。

8、SQL注入攻击

SQL注入攻击是指后台数据库操作时，如果拼接外部参数到SQL语句中，就可能导致欺骗服务器执行恶意的SQL语句，造成数据泄露、删库、页面篡改等严重后果。按变量类型分为：数字型、字符型;按HTTP提交方式分为：GET注入、POST注入、cookie注入;按注入方式可分为：报错注入、盲注、堆叠注入等等。

常见的网站遭攻击方式有哪些

之一种:网页篡改

攻击描述:针对网站程序漏洞,植入木马(webshell、跨站脚本攻击),篡改网页,添加黑链或者嵌入非本站信息,甚至是创建大量目录网页,以博彩攻击织梦CMS最常见。

危害说明:网站信息被篡改,本站访客不信任,搜索引擎(百度为例)和安全平台(安全联盟为例)检测到你的网站被挂马,会在搜索结果提示安全风险,搜索引擎和浏览器都会拦 *** 问。

第二种:流量攻击

攻击描述:CC攻击:借助 *** 服务器模拟多个用户不停的对网站进行访问请求,DDOS攻击:控制多台电脑向网站发送访问请求,以CC攻击最为普遍,采用大量数据包淹没一个或多个路由器、服务器和防火墙。

危害说明:CC攻击会使服务器CPU达到峰值100%,网站瘫痪无法正常打开,IIS停止服务,出现503状态无法自动恢复;百度蜘蛛无法抓取网站,清空索引及排名,流量下滑。

第三种:数据库攻击

攻击描述:SQL注入:通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。

危害说明:数据库入侵,用户信息泄露,数据表被篡改,植入后门,数据库被篡改比网页文件被篡改危害大得多,因为网页都是通过数据库生成的。

第四种:恶意扫描

攻击描述:黑客为了攻击网站通过工具自动扫描漏洞。

危害说明:发现漏洞,进而攻击。

第五种:域名攻击

域名被盗:域名所有权被转移,域名注册商被转移;

DNS域名劫持:伪造DNS服务器,指引用户指向错误的一个域名地址,

域名泛解析:域名被泛解析很多二级域名网站指向黑客网站,中国 *** 域名和较大流量个人站很受博彩欢迎。

危害说明:失去域名控制权,域名会被绑定解析到黑客网站,被泛解析权重会分散,引起搜索引擎、安全平台不信任从而降权标黑。

解决方案：

使用360网站检测、360主机卫士、360网站监控，安装服务器安全狗(未专业慎装,网站会变慢)、网站安全狗、金山毒霸企业版，还可以使用数据库防火墙，更好的防护方案是用CNAME替换网站的接入，域名解析成防护系统，就可以达到防护作用。市场上搜索防御DDOS杭州超级科技，有一系列防护效果好的防护体系。