基本网络攻击与防御

CRF攻击

用户访问恶意网站，被恶意网站利用用户信息对用户的信息进行盗取，对用户发送邮件、短信或者转账支付等恶意行为。

1、用户A在访问信任网站B，并进行登录。

2、信任网站B返回给用户A的cookie。

3、用户A在没有退出网站A的情况下，访问恶意网站C。

4、恶意网站C通过用户的cookie访问信任网站A。

相关防御：

• 将cookie设置为HttpOnly：response.setHeader("Set-Cookie","cookiename=cookievalue;HttpOnly")
• 增加JWT防盗用机制
• 通过Referer识别：referer中存储的是请求源地址，如果用户在登录一个银行网站为www.xxxx.com，在恶意网站进行请求时请求源网站为恶意网站地址，后台代码可以对源地址进行判断就可以防止CRF攻击。

XSS漏洞

xSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。

防范方法：

1. 字符转义：在后端进行处理，因为前端处理还是会被攻击。org.springframework.web.util.HtmlUtils
2. 敏感数据可以加验证码

DDOS攻击

分布式拒绝服务攻击（英文意思是Distributed Denial of Service，简称DDoS)是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击，或者一个攻击者控制了位于不同位置的多台机器并利用这些机器对受害者同时实施攻击。

攻击方式：

• 带宽攻击：这类攻击旨在消耗目标系统的网络带宽，使其无法正常服务合法用户请求。
• 协议攻击：这类攻击旨在利用协议的弱点，占用目标系统的资源，导致其无法处理合法用户的请求。
• 应用攻击：这类攻击旨在直接针对目标应用程序，使其无法正常运行或提供服务。

防御方式：

• 软硬件防火墙特征识别构建黑白名单(UA、IP)
• 高防代理（钞能力云DDoS防护，就是为你提供大带宽大容量的代理服务器来判断是否是正常请求，或者买动态带宽)
• 构建高可用架构，容器化水平扩容，增加吞吐
• 网关限流与拒绝