前端小白应该了解的黑客攻击手段

XSS 攻击（跨站脚本攻击）

• 原理：攻击者将恶意脚本注入到受信任的网页中，使用户浏览器执行该恶意脚本，从而获取用户敏感信息或在用户浏览器中执行恶意操作。
• 预防方法：转义输入输出数据、使用内容安全策略 (Content Security Policy, CSP)、过滤和验证用户输入等。

CSRF 攻击（跨站请求伪造）

• 原理：攻击者通过诱使被攻击者在另一个网站上点击恶意链接，来伪造用户的身份，发起对受信任网站的请求。
• 预防方法：使用随机 Token 或验证码进行用户身份验证、验证请求来源头部 Referer，设置 SameSite 属性来限制 Cookie 的发送等。

点击劫持攻击

• 原理：攻击者将恶意网页覆盖在合法网站上，通过透明覆盖或 iframe 等方式，欺骗用户在不知情的情况下点开恶意链接或按钮。
• 预防方法：使用 Frame Busting 技术、设置 X-Frame-Options HTTP 头部来禁止网页被嵌套等。

Cookie 挟持/盗用攻击

• 原理：攻击者窃取用户的 Cookie 信息，冒充用户身份进行攻击或非法操作。
• 预防方法：禁用 Cookie 的 HttpOnly 属性、设置 Cookie 的安全属性为 Secure、及时更新 Cookie 的值等。

中间人攻击（Man-in-the-Middle Attack，MITM）

• 原理：攻击者通过在网络通信过程中拦截双方通信并监控、修改或假冒其中一方，使双方无法察觉到通信被篡改。
• 预防方法：使用 HTTPS 协议、使用 SSL/TLS 数字证书加密通信、建立 VPN 连接等。

URL 漏洞跳转攻击（Open Redirect Vulnerability）

• 原理：攻击者构造一个包含恶意链接的 URL，诱骗用户点击，从而跳转至恶意网站，甚至执行恶意操作。
• 预防方法：严格检查并限制 URL 参数的输入、验证重定向 URL、设置白名单限制跳转链接等。

OS 命令注入攻击（Operating System Command Injection）

• 原理：攻击者通过向应用程序的输入字段输入恶意代码，以此来执行操作系统的命令。
• 预防方法：严格验证用户输入、避免将输入参数拼接到命令行中、限制进程的执行权限等。

SQL 注入攻击

• 原理：攻击者通过构造恶意的 SQL 查询语句，将恶意代码注入到应用程序的数据库查询中，从而获取、篡改或删除数据库中的数据。
• 预防方法：使用参数化查询或预编译语句、对用户输入进行严格验证和过滤、最小化数据库账号权限等。

文件上传漏洞攻击

• 原理：攻击者通过上传恶意文件来执行任意代码或操作，从而危害服务器和用户的系统。
• 预防方法：限制上传文件类型和大小，对上传的文件进行严格的验证和过滤，使用安全的文件存储路径，对上传的文件进行独立沙箱隔离处理等。