根据Verizon 2023数据泄露调查报告，基本Web应用程序攻击占整个泄露数据集的近四分之一。虽然不是最复杂的威胁，但像凭证填充和SQL注入攻击这样的常见网络攻击继续对网络安全领域造成严重破坏，就像网络钓鱼和新兴的基于人工智能的攻击一样。

10 种最常见的 Web 攻击

1. 跨站点脚本

跨站点脚本 (XSS) 攻击诱使浏览器向受害者的浏览器发送恶意客户端脚本，受害者的浏览器将在收到后自动执行。此恶意软件可以：

泄露数据

安装恶意软件

将用户重定向到欺骗性网站

防止XSS攻击就像清理数据输入一样简单。考虑拒绝特殊字符或符号以避免代码注入。未经检查的跨站点脚本攻击可能导致会话劫持、表单操作劫持和服务器端请求伪造攻击。

2. SQL注入攻击

SQL 注入攻击是过去十年中最常见的 Web 攻击之一，它允许攻击者破坏服务器的 cookie、Web 表单或 HTTP 帖子，以操纵数据库中的数据。他们利用输入字段并注入恶意脚本，旨在诱骗服务器提供未经授权(但未受保护)的敏感数据库信息。

防止SQL注入攻击需要同样严格的数据输入和通过SQL命令允许的有限功能集。

3. 身份验证损坏

Verizon 2022 DBIR 指出，67% 的数据泄露是由凭据泄露引起的。破坏的身份验证 - 或任何类型的非法基于登录的访问 - 可以通过多种方式执行：

蛮力

撞库

字典攻击

防止破坏身份验证攻击可设置超级安全密码，也可以切换到令牌化多因素身份验证(MFA)。

4. 路过式下载

当用户访问一个网站时，恶意代理会自动下载到受害者的计算机上。它可能发生在用户下载其他东西、打开电子邮件、单击弹出窗口或仅仅访问一个页面时。

由于飞车攻击利用了应用程序、浏览器和操作系统中潜在的安全漏洞，因此保持您的环境保持最新非常重要。限制您安装的web插件和应用程序的数量也可以减少您的攻击面。

5. 基于密码的攻击

虽然这些可能是“破坏身份验证”漏洞的一部分，但它们确实值得拥有自己的空间。基于密码的攻击列表多种多样且广泛，包括：

凭据转储(窃取RAM 以获取机密)

暴力破解(系统地猜测正确的密码)

撞库(使用已知凭证登录一系列其他帐户)

传递哈希 (PtH) 技术(窃取哈希凭据并使用它来创建新的经过身份验证的会话)

实施代码签名、强制实施强密码要求、设置 MFA 以及按照最小权限原则进行操作将减少基于密码的攻击的机会。

6. 模糊测试

模糊测试工作原理是首先将大量随机数据(模糊)输入到应用程序中以使其崩溃。下一步是使用模糊器软件工具来识别薄弱环节。如果目标的安全存在任何漏洞，攻击者可以进一步利用它。

对抗模糊测试攻击的方法是保持安全和其他应用程序的更新。对于任何带有更新的安全补丁尤其如此，如果尚未进行更新，攻击者可以利用这些补丁。

7. 使用具有已知漏洞的组件

今天的软件通常是由许多独立的部分组合而成，并且位于长软件供应链的末端。因此，隐藏在下游依赖项或从开源代码存储库中遗留下来的漏洞或利用可能导致最终站点受到损害。

许多公司在合作之前都在审查第三方供应商的安全遵从性，以避免这种情况，并依靠代码签名、质量控制策略和内部威胁检测来防止(或保护)漏泄的脆弱依赖关系。

8. DDoS(分布式拒绝服务)

DDoS 攻击旨在通过请求使目标的 Web 服务器不堪重负，使其他访问者无法访问该站点。僵尸网络通常会创建大量请求，这些请求分布在以前受感染的计算机中。此外，这些类型的网络攻击通常与其他方法一起使用，前者的目标是在利用漏洞的同时分散安全系统的注意力。

保护网站免受 DDoS 攻击通常是多方面的：

首先，需要使用内容分发网络 (CDN)、负载均衡器和可扩展资源来缓解峰值流量。

其次，还需要部署 Web 应用程序防火墙 (WAF)，以防 DDoS 攻击隐藏了另一种网络攻击方法，例如注入或 XSS。

9. MiTM(中间人)

中间人攻击在数据从用户传输到服务器时没有加密的站点(使用HTTP而不是HTTPS的站点)中很常见。当数据在双方之间传输时，犯罪者会拦截数据。如果数据没有加密，攻击者可以很容易地读取互联网上两个位置之间传输的个人信息、登录信息或其他敏感信息。

减轻中间人攻击的一种直接方法是在站点上安装SSL证书。该证书对各方之间的所有信息进行加密，因此攻击者不会轻易理解它。通常，大多数现代托管提供商已经在其托管包中提供了SSL证书。

10. 目录遍历

目录(或路径)遍历攻击的目标是web根目录，目的是访问目录外的未授权文件或目录。攻击者试图在服务器目录中注入移动模式，以便在层次结构中向上移动。

成功的路径遍历可能会:

进入网站

配置文件

数据库

同一物理服务器上的其他网站和文件。

保护您的站点免受路径遍历攻击归结为输入清理。这意味着要保证用户输入的安全且不能从服务器上恢复。这里最直接的建议是构建代码库，这样来自用户的任何信息都不会传递给文件系统API。

参读链接：

https://www.tripwire.com/state-of-security/most-common-website-security-attacks-and-how-to-protect-yourself