网络安全的基础知识 · 网络攻击（Cyber Attacks）和小明的防御手段（一）

默默且听风
397 阅读13分钟

网络攻击是指恶意行为者利用计算机、网络、或其他数字设备对目标系统进行未经授权的访问、破坏、窃取数据或干扰正常服务的行为。网络攻击的目的是多种多样的，包括但不限于窃取敏感信息、经济利益、政治目的、破坏竞争对手的系统等。

常见的网络攻击种类及解决方案

1. 恶意软件（Malware）

  • 原理：恶意软件通过感染计算机系统，执行未经授权的操作，例如窃取数据、破坏系统、显示广告等。恶意软件的类型包括病毒、蠕虫、特洛伊木马、勒索软件和间谍软件等。

  • 解决方案：

    • 安装和更新防病毒软件，确保防病毒软件能够识别最新的恶意软件。
    • 定期扫描系统，及时发现并清除恶意软件。
    • 不打开不明来源的电子邮件附件和下载文件，避免恶意软件通过社交工程学手段传播。
    • 定期备份重要数据，以防止勒索软件攻击导致的数据丢失。

小明的例子

小明是一名大学生，平时喜欢在网上下载各种免费软件和文件。一天，小明收到了一封看似来自他朋友的电子邮件，邮件中附有一个名为“有趣视频.mp4.exe”的文件。小明没有仔细查看文件扩展名，直接点击了附件。

不久后，小明发现他的电脑变得非常慢，桌面上出现了许多不明来源的广告弹窗，甚至一些重要文件也无法打开了。小明意识到他的电脑可能感染了恶意软件。

小明的解决方案

  1. 安装和更新防病毒软件：小明立即下载并安装了一个知名的防病毒软件，并确保它是最新版本。防病毒软件开始扫描他的系统，发现并清除了多个恶意软件。
  2. 定期扫描系统：小明决定每周定期进行全盘扫描，以确保系统没有新的恶意软件。
  3. 谨慎处理电子邮件附件：小明学到了教训，以后他会更加谨慎，不会再轻易打开不明来源的电子邮件附件和下载文件。他还会检查文件的扩展名，避免再次上当。
  4. 定期备份重要学习资料：为了防止类似事件再次发生，小明开始定期备份他的重要数据。他使用外部硬盘和云存储服务来备份文件，这样即使电脑再次感染恶意软件，他也不会丢失重要数据。

2. 网络钓鱼（Phishing）

  • 原理：攻击者伪装成合法实体，通过电子邮件、短信等方式诱骗用户提供敏感信息，如用户名、密码、信用卡信息等。网络钓鱼攻击通常伴随着伪造的登录页面或恶意链接。

  • 解决方案：

    • 教育用户识别钓鱼攻击，提高员工和用户的安全意识。
    • 使用电子邮件过滤器，阻止可疑的钓鱼邮件进入用户收件箱。
    • 启用双因素认证，即使用户的凭证被盗，攻击者也难以登录账户。
    • 验证网站的SSL证书，确保访问的网站是合法的。

小明的例子

小明是一名大学生，平时经常使用电子邮件与老师和同学交流。一天，小明收到了一封看似来自学校IT部门的电子邮件，邮件内容称他的学校账户需要更新密码，并提供了一个链接。邮件看起来很正式，还有学校的标志和IT部门的签名。

小明没有多想，点击了链接并输入了自己的用户名和密码。几天后，小明发现他的学校账户被盗用，邮箱中出现了大量陌生的邮件，甚至他的学习资料也被删除了。小明这才意识到自己遭遇了网络钓鱼攻击。

小明的解决方案

  1. 教育用户识别钓鱼攻击：小明参加了学校组织的网络安全培训课程，学习了如何识别钓鱼邮件的特征，如不明链接、紧急请求和语法错误等。
  2. 使用电子邮件过滤器：小明在学校IT部门的帮助下，设置了电子邮件过滤器，阻止可疑的钓鱼邮件进入他的收件箱。
  3. 启用双因素认证：小明为他的学校账户启用了双因素认证（2FA），即使他的密码被盗，攻击者也难以登录他的账户。
  4. 验证网站的SSL证书：小明学会了在访问网站时检查SSL证书，确保网站是合法的。他还注意到，合法网站的URL通常以“https://”开头，并显示一个锁定图标。

3. 拒绝服务攻击（DoS/DDoS）

  • 原理：DDoS攻击的原理是攻击者使用大量的计算机或设备，同时向目标系统发送大量虚假请求，使目标系统的网络和服务器过载，无法正常响应合法用户的请求。

  • 解决方案：

    • 使用DDoS防护服务：专业的DDoS防护服务可以检测并过滤恶意流量，确保只有合法流量达到目标系统。
    • 负载均衡：通过使用负载均衡设备，可以分担流量负载，确保系统能够更好地处理大量请求。
    • 网络流量监控和分析：实时监控网络流量，及时发现并响应异常流量。

小明的例子

小明是学校计算机社团的成员，负责管理社团的机房和服务器。一天，社团的网站突然变得无法访问，所有的服务都变得极其缓慢，甚至完全停滞。小明检查后发现，服务器的网络流量异常高，怀疑遭遇了DDoS攻击。

小明的解决方案

  1. 使用DDoS防护服务：小明联系了学校的IT部门，申请使用学校的DDoS防护服务。通过专业的DDoS防护服务，恶意流量被检测并过滤，确保只有合法流量能够到达社团的服务器。

    明明是把网线拔了

  2. 负载均衡：在IT部门的帮助下，小明为社团的服务器配置了负载均衡设备。负载均衡设备将流量分散到多个服务器上，减轻了单个服务器的负载压力，使系统能够更好地处理大量请求。

    其实让社团小伙伴直接走的内网

  3. 网络流量监控和分析：小明安装了网络流量监控工具，实时监控社团服务器的网络流量。通过这些工具，小明能够及时发现异常流量，并迅速采取应对措施。

    风头过去了

    嗯，我们有效的防御了一次DDoS。

    耶~

4. SQL 注入攻击（SQL Injection）

  • 原理：SQL注入攻击的原理是攻击者通过在应用程序的输入字段中插入恶意SQL查询，以执行不被授权的数据库操作。这可能导致数据泄露、数据篡改或数据库损坏。

  • 解决方案：

    • 使用预编译的SQL语句：通过预编译的SQL语句处理用户输入，确保输入不会被解释为SQL代码。
    • 参数化查询：使用参数化查询，将用户输入视为数据而不是代码，从而防止SQL注入。
    • 有效的输入验证：验证用户输入，确保它们符合预期的格式和范围，过滤掉潜在的恶意字符。

小明的例子

小明负责维护学校社团的一个在线报名系统。一天，他发现有些用户的报名信息看起来非常奇怪，其中包含一些SQL语句。小明意识到，系统可能存在SQL注入漏洞，攻击者可以通过这些漏洞进行恶意操作。

小明：卧槽，社团才8个人。怎么这半个月每天都一百多设备个登录系统？

小明的解决方案

  1. 使用预编译的SQL语句：小明将系统中所有直接拼接SQL查询的代码改为使用预编译的SQL语句。预编译的SQL语句在执行时会将用户输入作为参数处理，而不是直接拼接到SQL查询中，从而避免了SQL注入攻击。

    例如，原来的代码可能是这样：

    "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'"

    改为使用预编译的SQL语句：

    cursor.execute("SELECT * FROM users WHERE username = %s AND password = %s", (username, password))

  2. 参数化查询：小明确保所有的数据库查询都使用参数化查询，而不是将用户输入直接拼接到SQL语句中。参数化查询将用户输入作为数据处理，避免了SQL注入的风险。

  3. 有效的输入验证：小明在应用程序中添加了严格的输入验证机制，确保用户输入符合预期的格式和范围。例如，对于用户名和密码字段，系统会验证输入是否只包含合法字符，并过滤掉潜在的恶意字符。

  4. 安全编码实践：小明还学习了更多的安全编码实践，并将这些实践应用到整个系统中，以确保其他部分的代码也不会受到SQL注入攻击的威胁。

来，跟我念！专业的ORM

5. 跨站点脚本（XSS）攻击

  • 原理：XSS攻击的原理是攻击者注入恶意脚本代码到网页中，这些代码在用户的浏览器上执行。这可以用来窃取用户的会话令牌、注入广告或窃取用户的个人信息。

  • 解决方案：

    • 过滤用户输入：过滤和验证用户输入，以确保任何潜在恶意代码都被中立化。
    • 转义输出：确保在将用户输入插入到网页中时，将其转义为纯文本，而不是执行代码。
    • 使用Content Security Policy（CSP）：通过HTTP标头中的CSP来定义哪些资源和脚本可以执行，限制潜在恶意脚本的来源。

小明的例子

小明负责维护学校社团的一个论坛系统。一天，他发现论坛中有用户报告说在浏览帖子时，浏览器弹出了意外的广告窗口。小明意识到，系统可能存在XSS漏洞，攻击者可以通过这些漏洞注入恶意脚本。

社团长：小明，你为什么用你的账号在论坛上弹窗骂我？

小明：？？？

一顿查询

小明：这帮***！

小明的解决方案

  1. 过滤用户输入：小明在论坛系统中添加了严格的输入过滤机制，对用户提交的内容进行验证和过滤。确保任何包含潜在恶意代码的输入都被中立化。例如，使用正则表达式或专门的库来移除或转义HTML标签和脚本代码。

    例如，原来的代码可能直接保存用户输入：

    user_input = request.form['content']
save_to_database(user_input)

    改为过滤用户输入：

    from markupsafe import escape
user_input = escape(request.form['content'])
save_to_database(user_input)

  2. 转义输出：小明确保在将用户输入插入到网页中时，将其转义为纯文本，而不是直接执行代码。这样，即使用户输入中包含恶意脚本，也不会在浏览器中执行。

    例如，在模板中使用安全的输出方法：

    <div>{{ user_input }}</div>

  3. 使用Content Security Policy（CSP）：小明配置了Content Security Policy（CSP）头，限制哪些资源和脚本可以在网页中执行。通过CSP，小明可以防止外部恶意脚本的加载和执行，进一步提高系统的安全性。

    例如，配置CSP头：

    Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com

社团长：修好了吗？

小明：放心吧，社团长。我已经把漏洞修好了，再也不会发生这种事了。

社团长：能改一下吗？我的账号别修，你告诉我咋做？

小明：？？？

6. 跨站点请求伪造（CSRF）攻击

  • 原理：CSRF攻击的原理是攻击者试图利用受害者的已登录状态，诱使他们执行不期望的操作，如在其已登录的银行帐户中执行资金转移。

  • 解决方案：

    • 使用随机生成的令牌：在关键操作上使用随机生成的令牌，以确保请求是合法的，并要求用户确认敏感操作。
    • 合理的权限控制：确保用户只能执行他们有权限的操作，以减少潜在攻击的影响。
    • 检查Referer头：验证请求的来源，确保请求来自合法的页面。

小明的例子

小明负责维护学校社团的一个管理系统。一天，他发现有用户报告说被无故移出了管理系统。小明意识到，系统可能存在CSRF漏洞，攻击者可以通过这些漏洞利用用户的已登录状态来执行不期望的操作。

社·暴怒状态·团长：小明！你给我踢了干啥？

小明：啊？？？

小明的解决方案

  1. 使用随机生成的令牌：小明在所有关键操作（如移除用户）中添加了CSRF令牌。每次生成一个随机的CSRF令牌，并将其嵌入到表单中。服务器在处理请求时验证这个令牌，以确保请求是合法的。

    例如，在生成表单时：

    <form method="post" action="/remove_user">
    <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
    <input type="hidden" name="user_id" value="{{ user_id }}">
    <button type="submit">移除用户</button>
</form>

    在服务器端验证CSRF令牌：

    from flask import request, session, abort

@app.route('/remove_user', methods=['POST'])
def remove_user():
    csrf_token = request.form.get('csrf_token')
    if not csrf_token or csrf_token != session['csrf_token']:
        abort(403)  # Forbidden
    # 处理移除用户逻辑

  2. 合理的权限控制：小明确保只有具有适当权限的用户才能执行敏感操作。例如，只允许管理员移除用户，并确保普通用户无法执行这些操作。

    例如，在处理请求时验证用户权限：

    @app.route('/remove_user', methods=['POST'])
def remove_user():
    if not current_user.is_authenticated or not current_user.is_admin:
        abort(403)  # Forbidden
    # 处理移除用户逻辑

  3. 检查Referer头：小明在服务器端检查请求的Referer头，确保请求来自合法的页面。这可以防止外部网站发起的恶意请求。

    例如，在处理请求时检查Referer头：

    @app.route('/remove_user', methods=['POST'])
def remove_user():
    referer = request.headers.get('Referer')
    if not referer or not referer.startswith('https://trusted.domain.com'):
        abort(403)  # Forbidden
    # 处理移除用户逻辑

通过这些措施，小明成功地修复了系统中的CSRF漏洞，确保了管理系统的安全性和用户数据的完整性。他还定期审查和更新系统的安全策略，以防止新的安全漏洞出现。

小结

网络安全是一个复杂且不断演变的领域。通过了解和防范恶意软件、网络钓鱼、拒绝服务攻击、SQL注入攻击、XSS攻击和CSRF攻击等常见威胁，我们可以大大提高系统的安全性和数据的保护水平。希望本文提供的案例和解决方案能帮助大家增强网络安全意识，采取有效的防护措施，保障自身和组织的网络安全。记住，安全无小事，预防胜于治疗。

小明：别删我资料、别骂我老板、别搞我服务器，或者等我休息的时候搞

avatar
文章
阅读
粉丝