论述常见的 *** 攻击类型有哪些?如何应对?
1、水坑式 *** 钓鱼攻击
水坑攻击是通过软件或网站漏洞来嵌入恶意代码，使得网站受感染，在支付页面中窃取相关信息。该攻击主要通过漏洞攻击与弱配置等技术，定位托管热门网站的CMS，用DSL调整解调器等基础设施实现的。
通常来说，攻击者会经常访问你使用的网站，以确定攻击目标及提高成功率，最终使消费者从合法网站转移到冒牌网站，并通过浏览器进行扩展进行传播。
2、第三方服务漏洞
企业业务、数据的增长，使得企业越来越以来第三方服务，包括备份、存储与扩展等，但这也给了攻击者机会，他们通过与可以访问你的数据中心或系统的第三方链接来渗透 *** 。
因此，企业需要了解当前的供应商，了解他们是否出售或与其他方共享了你的数据，这些行为都将违反保密协议而为你带来损失。
3、Web应用程序攻击
*** 攻击的种类分析及防范策略总结怎么写
用特征进行检测。攻击工具有三个特点：反侦破，攻击者采用隐蔽攻击工具特性的技术，这使安全专家分析新攻击工具和了解新攻击行为所耗费的时间增多；动态行为，早期的攻击工具是以但已确定的顺序执行攻击步骤，今天的自动攻击工具可以根据随机选择、预先定义的决策路径或通过入侵者直接管理，来变化它们的模式和行为；攻击工具的成熟性，与早期的攻击工具不同，目前攻击工具可以通过升级或更换工具的一部分迅速变化，发动迅速变化的功绩，且在每一次攻击中会出现多种不同形态的攻击工具。
1.1发现安全漏洞越来越快
新发现的安全漏洞每年都要增加一倍，管理人员不断用最新的补丁修复这些漏洞，而且每年都会发现安全漏洞的新类型。入侵者经常能够在厂商修补这些漏洞前发现攻击目标。
1.2越来越高的防火墙渗透率
防火墙使人们牙防反入侵者的主要保护措施。但是越来越多的攻击技术可以绕过防火墙。例如，(IPP Internet打印协议)和WebDAV(基于Web的分布式创作与翻译)都可以被攻击者利用来绕过防火墙。
1.3 越来越不对称的威胁
Internet上的安全是相互依赖的。每个Internet系统遭受攻击的可能性取决于连接到全球Internet上其他系统的阿安全状态。由于攻击技术的进步，一个攻击者可以比较容易地利用分布式系统，对一个受害者发动破坏性的攻击。随着部署自动化程度和攻击工具管理技术的提高，威胁的不对称性将继续增加。
1.4 对基础设施将形成越来越大的威胁
基础设施攻击是大面积影响Internet关键组成部分的攻击。由于用户越来越多地依赖Internet完成日常业务，基础设施攻击引起人们越来越大的担心。基础设施面临分布式拒绝服务攻击、蠕虫病毒、对Internet域名系统DNS的攻击和对路由器攻击或利用路由器的攻击。
个人用户防护策略
针对一些常用的攻击 *** 、手段，个人用户有必要采取一些安全的防范措施，下面介绍一些可行的防范实例。
经常检查系统信息
上网过程中，如果感觉计算机有异常状态，如运行速度变慢，某些软件运行出错，不受控制等情况，应停下来检查一下系统运行状况。一是观看系统资源的使用状态，二是按“Ctrl+Alt+Del”复合键来查看系统正在运行的程序，看是否有其他程序在运行。如有自己部熟悉或自己并没有运行的程序在列表里面，应立即终止其运行，以防后患。
检测并清除木马程序
如果你的电脑一旦被人为诸如木马程序，就会被人操纵，以致出现死机，数据文件被删除等现象。这时候可以通过查看注册表，看注册表中\HKEY LOCAL MACHINE\HKEY.LOCAL_MACHINE\Softwere\Microsoft\Windows\CurrenVersion\kun下面类似Netspy.exe或空格.exe或其他可疑的文件名，如果有，则尽快闪出相应的键值，在查找到住在机内的相应的程序，并把它删除。
保护入网账号和口令
在Windows目录下经常有一些以“.pwl”为后追名的文件，这些文件作为密码保存之用，如开启Exchange电子信箱的密码、开机口令等信息就保存在以“.pwl”为后缀名的文件中。有些黑客可以运用一些专用软件来破解Windows95/98种的pwl文件，以很快的速度便可以直接读出pwl中的开机口令、用户名等加密数据信息。对于这种情况，最安全的 *** 是不用Windows95/98自动即以密码功能这一项，这样pwl文件中就没有任何加密信息流下，破解软件也无从下手。另外，对付这种情况也有较为直接的 *** ，就是经常删除这些以”.pwl”为后缀名的文件，以免将密码留在硬盘上。
保护好自己的IP地址
国内用户很多是通过163 *** 拨号的方式上网的，某些恶意破坏者往往通过跟踪上网账号并从用户信息中找IP，或者等待BBS、聊天室纪录的IP或者通过ICQ获取IP。为防止用户非法获取个人用户的IP地址信息，更好采用如下两种安全措施：一是使用 *** 服务器进行中转，这样用户上网是不需要真实的IP地址，别人也就无法获取自己的IP地址信息。二是注意避免在某些会显示IP的BBS和聊天室上暴露自己的IP地址。
屏蔽ActiveX控件
由于ActiveX控件可以被嵌入到HTML页面中，并下再到浏览器端加以执行，因此会给浏览器造成一定程度上的安全威胁。所以，用户如果要保证自己在因特网上的信息绝对安全，可以屏蔽掉这些可能对计算机安全构成威胁的ActiveX控件，具体操作步骤为：首先用鼠标单击菜单栏中的“工具”菜单项，并从下拉菜单中选择“Internet选项”：接着在选项设置框中选中“安全”标签，并单击标签中的“自定义级别”按钮：同时在打开的“安全设置”对话框中找到关于ActiveX控件的设置，然后选择“禁用”或“提示”。
使用“拨号后出现终端窗口”要小心
选中某一连接，单击鼠标右键，选“属性-常规-配置-选项-拨号后出现终端窗口”,然后拨号时,在拨号界面上不要填入用户名和密码（更不能选中“保存密码”项），在出现拨号终端口后再进行相应的输入，这可以避免用户名和密码被记录到硬盘上的密码文件中，同时，也可以避免某些黑客程序捕获用户名和密码。
拒绝“饼干”信息
许多网站会用不易觉察的技术，暗中搜集你填写的表格中的电子邮件地址信息，最常见的就是利用饼干程序（cookie）记录访客上网的浏览行为和习惯。如果你不想随便让饼干程序（cookie）来记录你个人的隐私信息，可以在浏览器中作一些必要的设置，要求浏览器在接受cookie之前提醒你，或者干脆拒绝它们。屏蔽cookie的操作步骤为：首先用鼠标单击菜单栏中的“工具”菜单项，并从下拉菜单中选择“Internet选项”：接着在选项设置框中选中“安全”标签，并单击标签中的“自定义级别”按钮：同时在打开的“安全设置”对话框中找到关于cookie的设置，然后选择“禁用：或“提示”即可。
不使用“MYDocuments”文件夹存放Word、Excel文件
Word、Excel默认的文件存放路径是根目录下的“MYDocuments”文件夹，在特洛伊木马把用户硬盘变成共享硬盘后，入侵者从这个目录中的文件名一眼就能看出这个用户是干什么的，这个目录几乎就是用户的特征标示，所以为安全起见应把工作路径改成别的目录，并且参差越深越好。
加密保护电子邮件
由于越来越多的人通过电子邮件进行重要的商务活动和发送机密信息，而且随着互联网的发展，这类应用会更加频繁。因此保证邮件的真实性和不被其他人截取和偷阅也变得越来越重要。所以，对于包含敏感信息的邮件，更好利用数字标示对你原写的邮件进行数字签名后再发送。所谓数字标示是指由独立的授权机构发放的证明你在Internet上的身份的证件，是你在因特网上的身份证。这些发证的商业机构将发放给你这个身份证并不断地效验其有效性。你首先向这些公司申请标示，然后就可以利用这个数字标示对自己的邮件进行数字签名，如果你获得了别人的数字标示，那么，你还可以跟他发送加密邮件。你通过对发送的邮件进行数字签名可以把你的数字标示发送给他人，这是他们收到的实际上是公用密钥，以后他们就可以通过这个公用密钥对发给你的邮件进行加密，你在使用私人密钥对加密邮件进行解密和阅读。在Outlook Eepress中可以通过数字签名来证明你的邮件身份，即让对方确信该有见是由你的机器发送的，它同时提供邮件加密功能使得你的邮件只有预定的接收者才能接收并阅读。但前提是你必须先获得对方的数字标示。数字标示的数字签名部分是你原电子身份卡，数字签名可使收件人确信又见是你发的，并且未被伪造或篡改过。从这些着手来写 就差不多了
简述针对物理层的 *** 攻击及防御？
温州职业技术学院
2011/ 2012学年之一学期《 *** 攻防》试卷（A）卷
适用班级 *** 0901/0902_（开）卷 总页数共_3_页
班级_ *** 0902_ 姓名___ 学号__ 成绩_____
一． 简述针对物理层的 *** 攻击及防御？（10分）
攻击： *** 物理层最重要的攻击主要有直接攻击和间接攻击，直接攻击时指：直接对硬件进行攻击，间接攻击是指对间接的攻击物理介质，如复制或sinffer，把信息原样的传播开来
防御：物理层信息安全主要包括防止物理通路的损坏、通过物理通路窃听、对物理通路的攻击(干扰)等；
二．简述针对操作系统层的 *** 攻击及防御？（20分）
*** 攻击的步骤一般可分为以下几步：
1． 收集目标的信息
2． 寻求目标计算机的漏洞和选择合适的入侵 ***
3． 留下“后门”
4． 清除入侵记录
攻击：黑客、病毒、木马、系统漏洞
防御：打开防火墙，杀毒软件等，关闭远程登入、漏洞的修补，不明网站不打开。
三．简述针对 *** 层的 *** 攻击及防御？（20分）
攻击： *** 层攻击的类型可以分：首部滥用、利用 *** 栈漏洞带宽饱和
IP地址欺骗、Nmap ICMP Ping扫描，Smurf攻击、Ddos攻击 *** 层过滤回应，伪造，篡改等
防御： *** 层的安全需要保证 *** 只给授权的客户提供授权的服务，保证 *** 路由正确，避免被拦截或监听，设置防火墙；
四．简述针对应用层的 *** 攻击及防御？（20分）
攻击：在对应用层的攻击中，大部分时通过HTTP协议(80端口)进行。恶意脚本 还有Cookie投毒 隐藏域修改 缓存溢出 参数篡改 强制浏览 已知漏洞攻击
Ddos攻击
SQL注入
CSS攻击
防御：对应用层的防范通常比内网防范难度要更大，因为这些应用要允许外部的访问。防火墙的访问控制策略中必须开放应用服务对应的端口，如web的80端口。这样，黑客通过这些端口发起攻击时防火墙无法进行识别控制。入侵检测和入侵防御系统并不是针对应用协议进行设计，所以同样无法检测对相应协议漏洞的攻击。而应用入侵防护系统则能够弥补防火墙和入侵检测系统的不足，对特定应用进行有效保护。
五、论述如何构建一个如图所示的企业安全内联网Intranet安全防御体系？（30分）
注意：安全防御体系包括总公司 *** 和分公司 *** 互联，远程拔号接入等
核心层采用快速以太网或以上类型组建全动态交换式 *** 。汇聚层采用100M或以上进行链接，接入层采用交换式10M进行链接。
以TCP/IP协议作为基础，以WEB为核心应用，构成统一和便利的信息交换平台在内网服务器上安装杀毒、防火墙软件辅以一定的访问控制策略并及时更新补丁等多项安全措施相结合的综合安全防护体系。
设定有限的 *** 管理即制定一套对计算机 *** 进行规划、设计、操作运行、管理、监控、分析等手段，充分应用资源提供可靠地服务。
对边缘交换机进行地址转换。采用3A认证、VPN通道加密、LAN技术隔离、备份线路、数据备份、带有网管系统，有个标准的通信协议，有防火墙，在非军事化区
放置对外的服务器。
2022上半年十大 *** 攻击事件
01 勒索凶猛！美国数千家公司工资难以发放
1月，专门提供劳动力与人力资本管理解决方案的美国克罗诺斯（Kronos）公司私有云平台遭勒索软件攻击至今已一月有余，但混乱仍在数百万人中蔓延。美国纽约城区超过两万名公共交通从业人员、克里夫兰市公共服务部门工作人员、联邦快递和全食超市员工以及全美各地大量医疗人员等均未能逃脱。
克罗诺斯母公司UKG集团（Ultimate Kronos Group）宣称，受攻击系统有望于1月底恢复正常运营，但客户却对此信心不足。有客户表示，即使系统按时恢复，公司面临的繁重工作也不会随之结束——在服务中断的一个月甚至更长时间里，账务和人事部门均积累了大量记录和报告，必须以手工形式录入克罗诺斯系统。此举甚至有可能导致W-2及其他税务信息的延迟发布。
克利夫兰市首席人力资源官保罗・帕顿（Paul Patton）无奈地表示，“我只能说勒索软件攻击的时间点选择非常敏感。年终岁尾，税务部门和普通民众都非常关心他们的账单，但（克罗诺斯）却瘫痪了。”为纠正本市8000余名公务人员的薪酬差错，克利夫兰专门设立了一间由行政工作人员组成的“作战室”。但帕顿认为效果并不明显，因为要做的工作太多了。
02 葡萄牙全国大面积断网：因沃达丰遭破坏性攻击
2月8日，国际电信巨头沃达丰的葡萄牙公司表示，由于遭受了一 *** “以损害与破坏为目的的蓄意 *** 攻击”，其大部分客户数据服务被迫下线。
该公司的4G与5G移动 *** 、固话语音、电视、短信及语音/数字应答服务目前仍处于离线状态。
这是沃达丰葡萄牙公司迄今为止处理过的更大规模 *** 安全事件。沃达丰在葡萄牙拥有超过400万手机用户、340万家庭和企业互联网用户，此次 *** 攻击造成了大规模的 *** 中断问题。
03 乌克兰 *** 和银行网站又遭大规模 *** 攻击被迫关闭
2月23日，乌克兰境内多个 *** 机构（包括外交部、国防部、内政部、安全局及内阁等）以及两家大型银行的网站再次沦为DDoS攻击的受害者。
专注监测国际互联网状态的民间组织NetBlocks还证实，乌克兰更大银行Privatbank、国家储蓄银行（Oschadbank）的网站也在攻击中遭受重创，目前与 *** 网站一同陷入瘫痪状态。
乌克兰国家特殊通信与信息保护局（SSCIP）表示，“部分 *** 与银行机构网站再度遭受大规模DDoS攻击，部分受到攻击的信息系统已经宕机，或处于间歇性不可用状态。”
目前，该部门与他国家 *** 安全机构“正在努力应对攻击，收集并分析相关信息。”
04 南非公民征信数据全泄露
3月，美国征信巨头TransUnion的南非公司遭巴西黑客团伙袭击，5400万消费者征信数据泄露，绝大多数为南非公民，据了解南非总人口约6060万人；
黑客团伙透露，通过暴力破解入侵了一台存有大量消费者数据的SFTP服务器，该服务器的密码为“Password”。
05 勒索软件攻击已造成国家危机
自4月17日Conti勒索软件攻击爆发以来，已至少影响了哥斯达黎加27个 *** 机构，其中9个受到严重影响，如征税工作受阻碍、公务员工资发放金额错乱等；
哥国新任总统日前表示，有证据显示，国内有内鬼配合勒索软件团队敲诈 *** ，这场危机是 *** 多年未投资 *** 安全的苦果；
安全专家称，这些犯罪团伙财力雄厚，完全有可能以收买的方式渗透进任何目标组织。
06 意大利多个重要 *** 网站遭新型DDoS攻击瘫痪
意大利安莎通讯社报道称，当地时间5月11日，意大利参议院、上议院、国防部等多个重要 *** 网站遭到 *** 攻击，网站无法访问至少1个小时，受影响的还有国际空间站、国家卫生研究所、意大利 汽车 俱乐部等机构的网站。
亲俄黑客团伙Killnet声称对本次攻击负责。此前，他们还曾先后对罗马尼亚门户网站、美国布拉德利国际机场发动过类似攻击。
作为对意大利DDoS攻击新闻报道的回应，Killnet团伙在Telegram频道上发布消息称，未来可能将出现进一步攻击。
07 亲俄黑客组织Killnet宣布对美欧十国 *** 发动 *** 战
亲俄罗斯黑客组织Killnet于5月16日宣布，该组织并未对欧洲歌唱大赛发起 *** 攻击，意大利警方宣称成功阻止 *** 攻击的说法是错误的。该组织同时宣布将对美国、英国、德国、意大利、拉脱维亚、罗马尼亚、立陶宛、爱沙尼亚、波兰和乌克兰 *** 发起 *** 战，声称选择上述国家的原因是其支持“纳粹”和“俄罗斯恐惧症”。
Killnet专门从事分布式拒绝服务（DDoS）攻击，通过大量请求来瘫痪服务器。该黑客组织近期多次对意大利、罗马尼亚、波兰、德国、捷克、拉脱维亚等国 *** 和其他网站发起 *** 攻击。
08 俄更大银行遭到最严重DDoS攻击
5月19日，俄罗斯更大银行Sberbank（联邦储蓄银行）官网披露，在5月6日成功击退了有史以来规模更大的DDoS攻击，峰值流量高达450 GB/秒。
次日，普京召开俄罗斯联邦安全会议，称正经历“信息空间战争”。他提出了三项关键任务，以确保俄关键信息基础设施安全。
此次攻击Sberbank主要网站的恶意流量是由一个僵尸 *** 所生成，该 *** 包含来自美国、英国、日本和中国台湾的27000台被感染设备。
Sberbank副总裁兼 *** 安全主管Sergei Lebed称， *** 犯罪分子利用各种策略实施 *** 攻击，包括将代码注入广告脚本、恶意Chrome扩展程序，以及被DDoS工具武器化的Docker容器等。
Lebed表示，他们在过去几个月内检测到超过10万名 *** 犯罪分子对其展开攻击。仅在3月，他们就记录到46次针对Sberbank不同服务同步发动的攻击活动，其中相当一部分攻击利用到在线流媒体与观影网站的流量。
09 最强间谍软件：难以防范的国家安全威胁
接连曝光的事件引发对监控软件使用的广泛争议。在全球开展的飞马项目调查显示，目前已在世界各地发现超过 450 起疑似飞马入侵事件，受害者分布普及世界各地，包括不少国家的领导人。
目前飞马软件已被美国商务部列入黑名单，正在接受欧洲议会委员会的调查。频发曝光的飞马入侵事件突显出间谍软件构成的国家安全威胁。
10 *** 攻击致使 汽车 租赁巨头全球系统中断，业务陷入混乱
5月5日Sixt公司表示，他们4月29日（周五）在IT系统上检测到可疑活动，并很快确认自己遭受到 *** 攻击。部分业务系统被迫中断，运营出现大量技术问题；公司的客户服务中心和部分分支机构受影响较大，大多数 汽车 预定都是通过笔和纸进行的，服务热线短时离线后恢复，业务陷入混乱。
总部宣称“根据公司的标准防范措施，我们立即限制了对IT系统的访问，同时启动了预先规划好的恢复流程。”但IT系统被限制访问，导致了Sixt公司的客户、 *** 和业务点发生业务中断。
公司称，此次攻击对公司运营与服务的影响已经被降至更低。据猜测，此次攻击可能属于勒索软件攻击，目前暂时没有相关组织表示负责。
*** 攻击的几种类型
*** 攻击（Cyber
Attacks，也称赛博攻击）是指针对计算机信息系统、基础设施、计算机 *** 或个人计算机设备的，任何类型的进攻动作。对于 计算机 和计算机 *** 来说，破坏、揭露、修改、使软件或服务失去功能、在没有得到授权的情况下偷取或访问任何一计算机的数据，都会被视为于计算机和计算机 *** 中的攻击。
*** 攻击的种类
1、主动攻击
主动攻击会导致某些数据流的篡改和虚假数据流的产生。这类攻击可分为篡改、伪造消息数据和终端（拒绝服务）。
（1）篡改消息
篡改消息是指一个合法消息的某些部分被改变、删除，消息被延迟或改变顺序，通常用以产生一个未授权的效果。如修改传输消息中的数据，将“允许甲执行操作”改为“允许乙执行操作”。
（2）伪造
伪造指的是某个实体（人或系统）发出含有其他实体身份信息的数据信息，假扮成其他实体，从而以欺骗方式获取一些合法用户的权利和特权。
（3）拒绝服务
拒绝服务即常说的DoS（Deny of Service），会导致对通讯设备正常使用或管理被无条件地中断。通常是对整个 *** 实施破坏，以达到降低性能、终端服务的目的。这种攻击也可能有一个特定的目标，如到某一特定目的地（如安全审计服务）的所有数据包都被阻止。
2、被动攻击
被动攻击中攻击者不对数据信息做任何修改，截取/窃听是指在未经用户同意和认可的情况下攻击者获得了信息或相关数据。通常包括窃听、流量分析、破解弱加密的数据流等攻击方式。
（1）流量分析
流量分析攻击方式适用于一些特殊场合，例如敏感信息都是保密的，攻击者虽然从截获的消息中无法的到消息的真实内容，但攻击者还能通过观察这些数据报的模式，分析确定出通信双方的位置、通信的次数及消息的长度，获知相关的敏感信息，这种攻击方式称为流量分析。
（2）窃听
窃听是最常用的手段。应用最广泛的局域网上的数据传送是基于广播方式进行的，这就使一台主机有可能受到本子网上传送的所有信息。而计算机的网卡工作在杂收模式时，它就可以将 *** 上传送的所有信息传送到上层，以供进一步分析。如果没有采取加密措施，通过协议分析，可以完全掌握通信的全部内容，窃听还可以用无限截获方式得到信息，通过高灵敏接受装置接收 *** 站点辐射的电磁波或 *** 连接设备辐射的电磁波，通过对电磁信号的分析恢复原数据信号从而获得 *** 信息。尽管有时数据信息不能通过电磁信号全部恢复，但可能得到极有价值的情报。
由于被动攻击不会对被攻击的信息做任何修改，留下痕迹很好，或者根本不留下痕迹，因而非常难以检测，所以抗击这类攻击的重点在于预防，具体措施包括虚拟专用网VPN，采用加密技术保护信息以及使用交换式 *** 设备等。被动攻击不易被发现，因而常常是主动攻击的前奏。
被动攻击虽然难以检测，但可采取措施有效地预防，而要有效地防止攻击是十分困难的，开销太大，抗击主动攻击的主要技术手段是检测，以及从攻击造成的破坏中及时地恢复。检测同时还具有某种威慑效应，在一定程度上也能起到防止攻击的作用。具体措施包括自动审计、入侵检测和完整性恢复等。
攻击的 *** 主要有：
[if !supportLists]· [endif]口令入侵
[if !supportLists]· [endif]特洛伊木马
[if !supportLists]· [endif]WWW欺骗
[if !supportLists]· [endif]电子邮件
[if !supportLists]· [endif]节点攻击
[if !supportLists]· [endif] *** 监听
[if !supportLists]· [endif]黑客软件
[if !supportLists]· [endif]安全漏洞
[if !supportLists]· [endif]端口扫描
如何避免 *** 攻击呢，之一种是同源检测的 ***
服务器根据 http 请求头中 origin 或者referer 信息来判断请 求是否为允许访问的站点，从而对请求进行过滤。当 origin 或者 referer 信息都不存在的 时候，直接阻止。这种方式的缺点是有些情况下referer 可以被伪造。还有就是我们这种 *** 同时把搜索引擎的链接也给屏蔽了，所以一般网站会允许搜索引擎的页面请求，但是相应的页面 请求这种请求方式也可能被攻击者给利用。
第二种 *** 是使用 CSRF Token 来进行验证
服务器向用户返回一个随机数 Token ，当网站 再次发起请求时，在请求参数中加入服务器端返回的 token ，然后服务器对这个 token 进行 验证。这种 *** 解决了使用 cookie 单一验证方式时，可能会被冒用的问题，但是这种 *** 存在一个缺点就是，我们需要给网站中的所有请求都添加上这个 token，操作比较繁琐。还有一 个问题是一般不会只有一台网站服务器，如果我们的请求经过负载平衡转移到了其他的服务器，但是这个服务器的 session 中没有保留这个 token 的话，就没有办法验证了。这种情况我们可以通过改变 token 的构建方式来解决。
第三种方式使用双重 Cookie 验证的办法
服务器在用户访问网站页面时，向请求域名注入一个 Cookie，内容为随机字符串，然后当用户再次向服务器发送请求的时候，从cookie 中取出 这个字符串，添加到 URL 参数中，然后服务器通过对 cookie 中的数据和参数中的数据进行比 较，来进行验证。使用这种方式是利用了攻击者只能利用 cookie，但是不能访问获取 cookie 的特点。并且这种 *** 比 CSRF Token 的 *** 更加方便，并且不涉及到分布式访问的问题。这 种 *** 的缺点是如果网站存在 XSS 漏洞的，那么这种方式会失效。同时这种方式不能做到子域 名的隔离。
第四种方式Samesite Cookie
是使用在设置 cookie 属性的时候设置 Samesite限制 cookie 不能作为被第三 方使用，从而可以避免被攻击者利用。Samesite 一共有两种模式，一种是严格模式，在严格模式下 cookie 在任何情况下都不可能作为第三方 Cookie 使用，在宽松模式下，cookie 可以 被请求是 GET 请求，且会发生页面跳转的请求所使用。
Samesite Cookie 表示同站 cookie，避免 cookie 被第三方所利用。将 Samesite 设为 strict ，这种称为严格模式，表示这个 cookie 在任何情况下都不可能作 为第三方 cookie。将 Samesite 设为 Lax ，这种模式称为宽松模式，如果这个请求是个 GET 请求，并且这个请求改变了当前页面或者打开了新的页面，那么这个 cookie 可以作为第三方 cookie，其余情 况下都不能作为第三方 cookie。
使用这种 *** 的缺点是，因为它不支持子域，所以子域没有办法与主域共享登录信息，每次转入子域的网站，都回重新登录。还有一个问题就是它的兼容性不够好。
什么是 *** 攻击？遭到 *** 攻击如何解决？
随着智能手机的兴起，越来越多的人开始接入互联网，同时，以此为基础的灰产也在蒸蒸日上。虽然几乎全社会都浸淫在移动互联网中，但技术对他们来说是透明的。对于可用性上来说，这是极好的，能够使得老幼妇孺都能享受到这种便利，但另一方面，由于对技术的不了解，就仿佛随时有无形的杀手潜伏在周围，毫无还手之力。
仅关于“点击链接”，就有各种诈骗相关的新闻，不胜枚举。其中最耸人听闻的是：由于点击了钓鱼链接，导致银行账户直接被洗劫一空。在这个新闻首次被报道时，我妈噤若寒蝉，这些在她眼中似乎都是魔法。那时的我就十分好奇，骗子真有如此神通吗?毕竟人人都得遵循基本的物理呀。
如何解决
之一种方式，既然没有验证请求的发起服务器，那么我们能不能在通信协议中规定一个属性，即请求者的来源?答案是肯定的，在HTTP header中，有一个Refer属性，即记录了请求者的地址，服务器后端只要验证这个Refer属性的值是否在白名单中即可。
这种方式简单方便，而且它可以与已有的系统解耦，不需要改动其他模块。我以为这样就可以了，但是现实世界往往是复杂的，还有很多其他的因素需要考量。
Refer方式不被常用的原因在于：「Referer 值会记录下用户的访问来源，有些用户认为这样会侵犯到他们自己的隐私权，特别是有些组织担心 Referer 值会把组织内网中的某些信息泄露到外网中。因此，用户自己可以设置浏览器使其在发送请求时不再提供 Referer。当他们正常访问银行网站时，网站会因为请求没有 Referer 值而认为是 CSRF 攻击，拒绝合法用户的访问。」而且，现在Refer值好像也可以篡改了。
第二种方式，从上面的流程可以得知，攻击者无法拿到用户的Cookie，也无法拿到服务器返回的数据(同源策略)，他能做的只是伪造用户请求。而上文原因之二在于，服务端难以确定表单是用户主动提交，还是在不自知的时候被动提交的。那么，我们可以在请求中加入攻击者难以伪造的元素。
锐速云你身边的 *** 安全专家
0条大神的评论