WEB网络安全

在学习网络安全之前，必须要先知道一个组织——OWASP。 OWASP是一个开源的、非盈利的全球性安全组织，致力于应用软件的安全研究。我们基于该组织公布的技术文档来学习相关网络攻击原理和预防措施，web安全的核心是——永远不要相信用户传过来的数据：

常见的 web 攻击方式有如下这些：

1. google hack

2. 网页爬虫

3. 暴力猜解

4. web 漏洞扫描

5. 错误信息利用

6. 利用服务器配置漏洞

7. 文件上传下载

8. 构造恶意输入（sql注入攻击、命令注入攻击、跨站脚本攻击等）

9. http 协议攻击

10. 拒绝服务攻击

11. 其他攻击利用（web service、flash 、ajax 等）

1. sql 注入攻击

1.1 简单注入

1. 数值型注入方式：例如我们后台有这样一个查询sql:

SELECT * from user_info WHERE id=

那么我们可以通过修改前端的值位：-1 or 1=1 来实现查询所有的数据，其中-1表示永远不可能存在的数据。

2. 字符串注入的方式：通过注释字符实现绕道

由于# / --通常标识注释，因此可以在输入用户名的时候加上’#，然后输入任意的密码，这样后面查询密码的sql 被注释掉，直接绕过密码校验实现登录；

因此要保证前后台输入框格式的绝对校验。另外严格禁止sql拼接，必须使用占位符

→点击获取网络安全资料·攻略←

200多本网络安全系列电子书
网络安全标准题库资料
项目源码
网络安全基础入门、Linux、web安全、攻防方面的视频
网络安全学习路线图

2. XSS攻击

跨站脚本攻击，是代码注入的一种，它允许恶意用户将代码注入到网页，其他用户在浏览网页时就会受到影响；将用户输入的数据当作了html语句放到了页面上执行

2.1