[TOC]

8. 网站的安全架构

8.1 网站应用攻击与防御

image

XSS 攻击

XSS 攻击即跨站点脚本攻击（ Cross Site Script），指黑客通过篡改网页，注入恶意 HTML 脚本，在用户浏览网页时，控制用户浏览器进行恶意操作的一种攻击方式。

反射型攻击：攻击者诱使用户点击一个嵌入恶意脚本的链接，达到攻击的目的。
持久型 XSS 攻击：黑客提交含有恶意脚本的请求，保存在被攻击的 Web 站点的数据库中，用户浏览网页时，恶意脚本被包含在正常页面中，达到攻击的目的。

防止 XSS 攻击的两种手段：

消毒：对某些 html 危险的字符转义处理。
HttpOnly：浏览器禁止页面 JavaScript 访问带有 HttpOnly 属性的 Cookie。防止 XSS 攻击者窃取 Cookie。

注入攻击

SQL 注入攻击：攻击者在 HTTTP 请求中注入恶意 SQL 命令，服务器用请求参数构造数据库 SQL 命令时，恶意 SQL 被一起构造，并在数据库中执行。

SQL 注入攻击需要攻击者对数据库结构有所了解才能进行，攻击者获取数据库表结构信息的手段有如下：

开源；
错误回显；
盲注；

防御 SQL 攻击的方式：

避免被攻击者猜测到表名等数据库表结构信息。
消毒。
参数绑定。（SQL 预编译和参数绑定）

CSRF 攻击

CSRF（Cross Site Request Forgery，跨站点请求伪造），攻击者通过跨站请求，以合法用户的身份进行非法操作。其核心是利用浏览器 Cookie 或服务器 Session 策略，盗取用户身份。

CSRF 防御手段主要是识别请求者身份：

表单 Token（在请求参数中增加随机数）；
验证码；
Refer check；HTTP 请求头的 Refer 域中记录着请求来源，可以通过检查请求来源，验证用户身份的合法性。

其他攻击和漏洞

Error Code；
HTML 注释；
文件上传；
路径遍历；

Web 应用防火墙：ModSecurity

ModSecurity 是一个开源的 Web 应用防火墙，探测攻击并保护 Web 应用程序，既可以嵌入到 Web 应用服务器中，也可以作为一个独立的应用程序启动。

参考：利用 ModSecurity 在 Nginx 上构建 WAF

网站安全漏洞扫描

网站安全漏洞扫描攻击是根据内置规则，构造出具有攻击性的 URL 请求，模拟黑客攻击行为，用以发现网站安全漏洞的工具。

8.2 信息加密技术及密钥安全管理

信息加密技术：

单向散列加密；
对称加密；
非对称加密；

密钥安全管理

改善密钥安全性的两种手段：

把密钥和算法放在一个独立的服务器上。
将加解密算法放在应用系统中，密钥则放在独立服务器中。实际存储时，密钥被切分成数片，加密后保存在不同的存储介质中。

8.3 信息过滤与反垃圾

常见的信息过滤与反垃圾手段：

文本匹配：正则表达式、Trie 算法、通过构造多级 Hash 表进行文本匹配、信息降噪处理。
分类算法；贝叶斯分类算法、TAN 算法、ARCS 算法。
黑名单；Hash 表、布隆过滤器。

8.4 电子商务风险控制

交易安全是电子商务网站的底线。

风险

电子商务风险：

账户风险；
买家风险；
卖家风险；
交易风险；

风控

风控的手段：自动、人工。

机器自动识别高风险的交易和信息，发送给风控审核人员进行人工审核。