禹立宏++何养育

摘 要

随着电子商务、电子政务、网上银行、证券、手机上网等业务的飞速发展， Web已成为主要的网络应用技术，本文重点对SQL注入攻击、跨站脚本攻击、网页挂马和社会工程学攻击等几种WEB攻击方式的定义、原理及危害进行了论述，最后提出了WEB攻击的防范方法。

【关键词】WEB攻击 防范

随着电子商务、电子政务、网上银行、证券、手机上网等业务的飞速发展，Web已成为主要的网络应用技术，据CNCERT统计显示，Web 流量已经占据整个TCP 流量的80%以上。与此同时，WEB攻击也大量增长，其已经占互联网攻击总数的75%，我国每年被篡改的网站就高达四万个，WEB攻击已经形成了一条组织严密、分工明确的黑色产业链，严重地危害着政治、经济和社会生活。

WEB攻击的主要方式有：SQL注入攻击、跨站脚本攻击、网页挂马和社会工程学攻击等。本文重点论述上述几种攻击定义、原理及危害，最后提出了WEB攻击的防范方法。

1 常见WEB攻击原理

1.1 SQL注入攻击

1.1.1 SQL注入攻击的定义

攻击者利用WEB应用程序对用户输入验证上的疏忽，在输入的数据中加入对某些数据库系统有特殊意义的符号或命令，让攻击者有机会直接对后台数据库系统下达指令，进而实现对后台数据库乃至整个应用系统的入侵。

1.1.2 SQL注入攻击的基本原理

（1）寻找注入点：非常实用和经典的寻找注入点方法是在参数后面跟上单引号或and 1=1， and 1=2判断返回网页是否正常。

（2）判断数据库类型：根据注入请求返回的出错信息、网站的脚本类型来判断或猜测。……