xss攻擊（跨站腳本） 是網站應用程式的安全泄露攻擊，是代碼註入的一種。它允許惡意用戶將代碼註入到網頁上，其他用戶在觀看網頁時就會受到影響。 攻擊原理 其特點是不對伺服器端造成任何傷害，而是通過一些正常的站內交互途徑，例如發佈評論，提交含有 JavaScript 的內容文本。這時伺服器端如果沒有過濾 ...
xss攻擊（跨站腳本）
是網站應用程式的安全泄露攻擊，是代碼註入的一種。它允許惡意用戶將代碼註入到網頁上，其他用戶在觀看網頁時就會受到影響。
攻擊原理
其特點是不對伺服器端造成任何傷害，而是通過一些正常的站內交互途徑，例如發佈評論，提交含有 JavaScript 的內容文本。這時伺服器端如果沒有過濾或轉義掉這些腳本，作為內容發佈到了頁面上，其他用戶訪問這個頁面的時候就會運行這些腳本。
防禦方法
瀏覽器端主動進行 XSS 識別
伺服器端對於用戶輸入的內容進行過濾
CSRF攻擊
CSRF 的全稱是“跨站請求偽造”，而 XSS 的全稱是“跨站腳本”。看起來有點相似，它們都是屬於跨站攻擊——不攻擊伺服器端而攻擊正常訪問網站的用戶。
攻擊原理
CSRF 顧名思義，是偽造請求，冒充用戶在站內的正常操作。我們知道，絕大多數網站是通過 cookie 等方式辨識用戶身份（包括使用伺服器端 Session 的網站，因為 Session ID 也是大多保存在 cookie 裡面的），再予以授權的。所以要偽造用戶的正常操作，最好的方法是通過 XSS 或鏈接欺騙等途徑，讓用戶在本機（即擁有身份 cookie 的瀏覽器端）發起用戶所不知道的請求。
一言蔽之就是冒充用戶進行一些操作。
防禦方法
1、通過 referer、token 或者驗證碼來檢測用戶提交。
2、儘量不要在頁面的鏈接中暴露用戶隱私信息。
3、對於用戶修改刪除等操作最好都使用 post 操作。
4、避免全站通用的 cookie，嚴格設置 cookie 的域。
SQl 攻擊
簡稱:註入攻擊。是發生於應用程式之資料庫層的安全泄露。
攻擊原理：
用戶直接輸入 sql 語句，如果應用用的是拼接字元串的方式且沒有過濾掉的話，當流程走到資料庫部分的時候就會直接執行，等於說資料庫的信息直接暴露在用戶面前，那還不是想幹嘛就幹嘛。。。
防禦方法
1.、驗證並轉義用戶輸入
2、base64編碼
3、綁定變數，使用預編語言
4、控制用戶的許可權，以及做好資料庫本身的安全工作
文件上傳漏洞
是指網路攻擊者上傳了一個可執行的文件到伺服器並執行。這裡上傳的文件可以是木馬，病毒，惡意腳本或者WebShell （諸如 jsp， php， asp 這些腳本）等
攻擊原理
有點像 sql 諸如和 xss 就是變成上傳文件了。
防禦方法
過濾上傳類型：比如上傳頭像文件的類型是否為圖片，大小是不是超過了。
引入第三方：將文件上傳到第三方提供地址，伺服器只保留一個地址即可。
ddos攻擊
DDoS 全稱 Distributed Denial of Service，分散式拒絕服務攻擊。
攻擊原理
就是本來一個伺服器最大承受一個G的帶寬，這時候一次性來了十個G的請求流量，咋整？伺服器要麼是陷入無盡的請求等待，要麼就直接GG了。
防禦方法
1、拼寬頻
2、流量清洗或者封 IP
3、CDN 服務
4、花錢買相應的防禦服務
