文章编号：2441 / 更新时间：2023-12-11 / 浏览：次

网站安全性是网站运营的基础，现在很多企业在建站的时候会使用到快源程序，开源程序的好处是方便快捷、简单易上手，弊端也很明显，那就是网站的安全性很难得到保障，如何在建站的时候保证网站的安全性呢？

SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。

此URL返回数据库某表的1条数据。程序中可能这么写的，ID为传入变量:

如上，那么查询语句将是

如果id=1‘or’1‘=’1,那么查询语句将是

①对提交的数据未过滤

仅接受指定长度范围内的变量值。sql注入脚本必然会大大增加输入变量的长度，通过长度限制，比如用户名长度为8到20个字符之间，超过就判定为无效值。

（2）对单引号和双"-"、下划线、百分号等sql注释符号进行转义

（3）不使用动态拼装SQL，使用参数化的SQL进行数据查询存取

①#符号作用为将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。

如果传入的值是111,那么解析成sql时的值为whereid="111"

如果传入的值是1’=or’1’=‘1’，则解析成的sql为whereid“1’=or’1’=‘1’“

②$符号则是将传入的数据直接生成在sql中。

如果传入的值是111,那么解析成sql时的值为whereid=‘111’

如果传入的值是1’=or’1’=‘1’，则解析成的sql为where_id=‘1’or’1’=1’

结论：#符号能够防止SQL注入，$符号无法防止SQL注入，$符号一般用于传入数据库对象，例如传入表名

往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的

（1）持久性的XSS(存储在服务器端，攻击行为将伴随着攻击数据一直存在)

（2）非持久性的XSS(一次性的，仅对当次的页面访问产生影响)

例子：将参数传递至页面输出

执行任意JS代码。最常见的做法是获取COOKIE认证信息；其他的就是跳转至恶意网址等，或者配合CSRF漏洞，进行创建form表单，进行提交，强制使当前用户操作，比如发帖，删帖，甚至转账等。

（1）过滤用户输入的内容，常见的是过滤‘、”、;、<、>

（2）在用户提交数据时，对数据进行编码处理。

（3）在输出页面时，对数据进行编码处理。

伪造请求，冒充用户在站内的正常操作

攻击者盗用了用户的身份，可以利用此身份进行发送邮件、发消息、购买商品、银行转账等等用户可执行的操作。

此方法为基础防御，目前Referer是可被改写和伪造的，并非绝对安全。

（2）HTTP添加自定义参数验证

服务器生成token一份存放在session中，一份放在前端隐藏域中随请求头部提交。B不访问A网站前端拿不到token，请求无法通过验证，达到防御目的。

对于跳转页是否是当前站点的页面，或者是否是允许的页面地址没有做判断，当恶意攻击者将地址改为：

3、配合session在URL中传递的危害

跳转到的页面中很容易从HTTP请求头中获取到url中session的值，对于session中验证信息不绑定用户客户端信息的情况，攻击者可直接使用，成为之前用户的身份。

（1）可以确定的URL：配置对应索引文件，通过索引找到对应具体url再进行跳转

（2）无法确定的URL：增加规则校验，先通过验证后在进行跳转

相关标签： 网站安全、 SQL注入、 跨站脚本、 蜘蛛技巧、 超级蜘蛛查、

本文地址：https://www.badfl.com/article/22b069b35e17219768ea.html

上一篇：掌握这些SEO技巧让你的关键词排名明显改善...
下一篇：一个好的文章标题应该具备什么特点？...