Matarialize中文社区-Web 安全与常见攻击防御（如 SQL 注入、XSS）

Web 安全与常见攻击防御（如 SQL 注入、XSS）

smartzeng 2024-08-30 15:01:34

194 SQL 注入专栏

Web 安全是保护网站和网络应用程序免受各种攻击的关键。以下是有关 SQL 注入、跨站脚本（XSS）攻击及其防御措施的详细信息。

1. SQL 注入（SQL Injection）

SQL 注入 是一种攻击技术，攻击者通过将恶意 SQL 代码注入到应用程序的查询中，以操控数据库或获取敏感信息。

防御 SQL 注入的最佳实践：

使用参数化查询（Prepared Statements）：

不直接将用户输入拼接到 SQL 查询中，而是使用参数化查询来确保用户输入被安全地处理。

示例（使用 Python 和 SQLite）：

import sqlite3

def get_user_by_id(user_id):
    conn = sqlite3.connect('example.db')
    cursor = conn.cursor()
    cursor.execute("SELECT * FROM users WHERE id = ?", (user_id,))
    user = cursor.fetchone()
    conn.close()
    return user

使用 ORM（对象关系映射）：
- ORM 框架（如 Django ORM、SQLAlchemy）可以自动处理 SQL 注入问题，因为它们内置了参数化查询机制。
验证和清理输入：
- 对用户输入进行验证和清理，确保其符合预期格式和范围。

2. 跨站脚本（XSS）

跨站脚本（XSS） 攻击是指攻击者通过在网页中注入恶意脚本来执行攻击，可能会窃取用户信息、篡改网页内容等。

防御 XSS 的最佳实践：

对用户输入进行输出编码：
- 在将用户输入回显到 HTML、JavaScript、或其他网页上下文中时，确保对其进行适当的编码。
示例（使用 Python 和 Flask）：
```
from flask import Flask, escape, request

app = Flask(__name__)

@app.route('/')
def index():
    user_input = request.args.get('name', '')
    return f'Hello, {escape(user_input)}!'
```
escape 函数将特殊字符转换为 HTML 实体，从而防止恶意脚本的执行。

使用 Content Security Policy（CSP）：

CSP 是一个安全特性，可以限制网页中允许执行的脚本源，帮助防止 XSS 攻击。

示例（使用 Flask 设置 CSP）：

from flask import Flask, Response

app = Flask(__name__)

@app.after_request
def apply_csp(response):
    response.headers['Content-Security-Policy'] = "default-src 'self'; script-src 'self';"
    return response

避免将动态数据直接嵌入 JavaScript 代码中：
- 确保从用户输入构建的 JavaScript 代码中不包含恶意内容。

3. 其他常见 Web 攻击及防御

跨站请求伪造（CSRF）：
- 防御：使用 CSRF 令牌来验证请求的合法性。大多数 Web 框架（如 Django、Flask、Express）都提供了内置的 CSRF 保护机制。
会话劫持：
- 防御：使用安全的 cookie 设置（如 HttpOnly、Secure 标志），并实现会话过期和再验证机制。
文件上传漏洞：
- 防御：验证上传文件的类型和大小，并限制文件存储路径，防止执行上传的恶意代码。
目录遍历攻击：
- 防御：对用户输入进行验证和清理，确保不会访问到系统文件或目录。