常见的web攻击【黑马软件测试培训】

更新时间:2019年07月30日 14时13分47秒来源:黑马程序员

1）xss跨站攻击技术：主要是攻击者往网页里嵌入恶意脚本，或者通过改变html元素属性来实现攻击，主要原因在于开发者对用户的变量直接使用导致进入html中会被直接编译成js，通常的get请求通过url来传参，可以在url中传入恶意脚本，从而获取信息，解决方法：特殊字符过滤。

2）sql注入攻击：主要是就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
比如select * from test where username="wuxu" or 1=1，这样会使用户跳过密码直接登录，具体解决方案：
1、特殊字符过滤，不要用拼接字符串的方法来凑sql语句。
2、对sql语句进行预编译，比如java的preparedstatement。
3、关闭错误信息，攻击者可能会通过不断的尝试来得到数据库的一些信息，所以关闭错误信息变得重要起来。
4、客户端对数据进行加密，使原来传进来的参数因为加密而被过滤掉。
5、控制数据库的权限，比如只能select，不能insert，防止攻击者通过select * from test ；drop tables这种操作

3）os命令注入攻击：系统提供命令执行类函数主要方便处理相关应用场景的功能.而当不合理的使用这类函数，同时调用的变量未考虑安全因素，就会执行恶意的命令调用，被攻击利用。主要原因是服务端在调用系统命令时采用的是字符串连接的方式，比如a=“a.txt;rm -rf *”,system(“rm -rf {$a}”)，这会给服务端带去惨痛的代价，具体解决方案：1、在程序开发时少用系统命令，执行命令的参数尽量不要从外部获取。2、参数特殊字符过滤

4）http首部注入攻击：HTTP协议本身并不存在安全性问题，应用HTTP协议的服务器和客户端以及运行在服务器上的Web应用等资源才是攻击的目标。

推荐了解热门学科

java培训	Python人工智能	Web前端培训	PHP培训
区块链培训	影视制作培训	C++培训	产品经理培训
UI设计培训	新媒体培训	软件测试培训	Linux运维
大数据培训	智能机器人软件开发

传智播客是一家致力于培养高素质软件开发人才的科技公司，“黑马程序员”是传智播客旗下高端IT教育品牌。自“黑马程序员”成立以来，教学研发团队一直致力于打造精品课程资源，不断在产、学、研3个层面创新自己的执教理念与教学方针，并集中“黑马程序员”的优势力量，针对性地出版了计算机系列教材50多册，制作教学视频数+套，发表各类技术文章数百篇。

传智播客从未停止思考

传智播客副总裁毕向东在2019IT培训行业变革大会提到，“传智播客意识到企业的用人需求已经从初级程序员升级到中高级程序员，具备多领域、多行业项目经验的人才成为企业用人的首选。”

中级程序员和初级程序员的差别在哪里?
项目经验。毕向东表示，“中级程序员和初级程序员最大的差别在于中级程序员比初级程序员多了三四年的工作经验，从而多出了更多的项目经验。“为此，传智播客研究院引进曾在知名IT企业如阿里、IBM就职的高级技术专家，集中研发面向中高级程序员的课程，用以满足企业用人需求，尽快补全IT行业所需的人才缺口。

何为中高级程序员课程?

传智播客进行了定义。中高级程序员课程，是在当前主流的初级程序员课程的基础上，增加多领域多行业的含金量项目，从技术的广度和深度上进行拓展。“我们希望用5年的时间，打造上百个高含金量的项目，覆盖主流的32个行业。”传智播客课程研发总监于洋表示。

黑马程序员热门视频教程

Python入门教程完整版（懂中文就能学会）	零起点打开Java世界的大门
C++\| 匠心之作从0到1入门学编程	PHP\|零基础入门开发者编程核心技术
Web前端入门教程_Web前端html+css+JavaScript	软件测试入门到精通

全国中心

常见的web攻击【黑马软件测试培训】

相关阅读