如何攻击WEB应用程序

当然，我们对安全问题越来越重视，影响安全的因素有很多。如，病毒、间谍软件、漏洞等。而恶意软件由来已久，远远超出了我们的记忆。特别是在当今，特洛伊木马等恶意代码日益横行，这种趋势好像并没有减缓的迹象。不过，恶意软件问题比起攻击者通过利用脆弱的应用程序服务器窃取大量的关键信息来说，显得还是相形见绌。

南昌网站建设

带你了解对WEB应用服务器的三种攻击:

Blind SQL 注入式攻击

Blind SQL注入式攻击是发动攻击的另一个方法，但却是另一种略有不同的方法。在执行一次标准的SQL注入式攻击时，攻击者将一个SQL查询插入到一个WEB应用程序中，期望使服务器返回一个错误消息。这种错误消息能够使攻击者获得用于执行更精确的攻击所需要兄带的信息。这会致使数据库管理员相信只要消除这种错误的消或喊息就会解决引起SQL注入式攻击的潜在的问题。管理员可能不会认识到虽然这样会隐藏错误消息，这种脆弱性仍然存在。这样会为攻击者增加点儿困难，却不能阻止攻击者使用错误消息收集信息，攻击者会不断地将伪造的SQL查询发送给服务器，以期获得对数据库的访问。

SQL 注入式攻击

SQL注入式攻击如今日益成为互联网上窃取机密信息的受欢迎的途径。一次SQL注入式攻击都包含这样一种方法：攻击者在一个WEB表单的搜索字段中输入一个SQL查询，如果这个查询被WEB应用程序接受，就会被传递到后端的数据库服务器来执行它，当然这要建立在从WEB应用程序到数据库服务器的读/写访问 *** 作被准许的前提下。这可以导致两种情况发生，一是攻击者可以查看数据库的内容，二是攻击者删除数据库的内容。无论哪一种情况发生，对用户来说都意味着灾难。

很多人可能认为，SQL注入式攻击需要高深的知识。其实恰恰相反，实质上，任何人，只要对SQL有一个基本的理解并拥有一定的查询程序（这种程序在互联网上比比皆是），这种攻击就可以实施。

跨站点脚本攻击

跨羡团芦站点的脚本攻击，也可称为XSS或CSS，是黑客损害那些提供动态网页的WEB应用的一种技术。当今的许多WEB站点都提供动态的页面，这些页面由为用户动态建造的多个源站点的信息组成。如果WEB站点管理员不注意这个问题，恶意内容能够插入到Web页面中，以收集机密信息或简单地用户端系统上执行。对抗手段

有许多对抗Web应用服务器攻击的对策和措施。对问题的清醒的认识无疑是最重要的。许多企业组织正专注于一些需要执行的预防性的措施，不过却不知晓这些攻击是如何执行的。如果不理解WEB应用服务器攻击是如何工作的，将会使对抗措施不能真正起作用，简单地依靠防火墙和入侵防御系统不能从根本上解决问题。例如，如果你的WEB应用服务器没有对用户输入进行过滤，你就很容易遭受上述类型的攻击。

领先于攻击者的另一个关键问题是定期对你的WEB应用进行彻底的检查。在技术领域，亡羊补牢，未为晚也可能不太适用，因为如果你不及时检查修补你的墙，你丢失的将不仅仅是羊，很有可能是你的整个羊圈甚至更多。

常见的计数器、留言版、聊天室和论坛BBS等，都是Web应用程序。但是，这些应手拿用程序相对简单，Web应用程序的真正核心主要是处理数据库， 管理信息系统（MIS）是此体系结构的最典型应用。

Web应用程序由执行特定任务并通过Web向外界公开服务的各种Web组件组成。 在实际应用程序中，Web应用程序由多个Servlet，JSP页面，HTML文毕握搭件和图像文件组成。 所有这些组件相互协调，以为用户提供一套完整的服务。

扩展资料：

例如，在网上商店中，用户反复观察和选择商品，购买商品，浏览一系列网页，收集所需信息，支付相应费用，最后下订单，也可以是“软件升级向导”，指导用户完成下载和安装新软件的过程，也可以是基于Intranet的报价或销售报告生成工具。

所有这些均不同于“标准”的Web网站。 常规网站使用一系列菜单或导航栏在预定路径中漫游该网站。 但是，成为Web应用程序皮迟不仅仅是下级控制的导航器。 在网站上自由漫游时，可以进行无状态和匿名访问，但是通常不接受Web应用程序。

为什么说web应用程序处理用户访问的机制是所有机制中最薄弱的机制，

1. 为什么说应用程序处理用户访问的机制是所有机制中最薄弱的机制？

典型的应用程序使用三重机制（身份验证、会话管理和访问控制）来处理橡租禅访问。

这些组件之间高度相互依赖，其中任何一个组件存在缺陷都会降低整个访问控制

并访问他机制的效率。例如，攻击者可以利用身份验证机制中的漏洞以任何用户

身份登录，并因此获得未授权访问权限。如果能够预测令牌，攻击者就可以假冒

成任何已登录用户们的数据。如果访问控制不完善，则任何用户都可以直接使用

应该受到保护的功能。

2. 会话与会话令牌有何不同？

会话是服务器上保存的一组数据结构，用于追踪用户与应用程序交互的状态。会

话令牌是应用程序为会话分配的一个特殊字符串，用户需要在连接提出请求的过

程中提交该字符串，以重新确认自己的身份。

3. 为何不可能始终使用基于白名单的方法进行输入确认？

许多时候，应用程序可能会被迫接受与已知为“良性”输入的列表或模式不匹配

的待处理数据。例如，许多用户的姓名包含可用在各种攻击中的字符。如果应用

程序希望允许用户以真实姓名注册，就需要接受可能的恶意输入，并确保安全处

理这些输入。

4. 攻击者正在攻击一个执行管理功能的应用程序，并且不具有使用这项功能的

任何有效证书。为何他仍然应当密切关注这项功能呢？

攻击者可以利用任何访问控制核心机制中型型的缺陷未授权访问管理功能。此外，攻

击者以低权限用户身份提交的数据最终将向管理用户显示，因此，攻击者可以提

交一些恶意数据，用于在管理用户查看这些数据时攻破他们的会话，从而对梁尘管理

用户实施攻击。

---