Web常见的攻击方式及防御方法如下：
1. 跨站脚本（XSS）
- 攻击方式：恶意代码被注入到网页中，用户浏览时执行该代码，导致窃取用户信息、伪造页面等。
- 防御：
- 对用户输入严格过滤、转义。
- 使用安全的编码标准（如HTML实体）。
- 案例：某网站评论区允许HTML标签，攻击者在评论中注入恶意脚本。
2. SQL注入
- 攻击方式：通过用户输入，构造恶意SQL语句，获取数据库敏感数据或修改数据库。
- 防御：
- 使用预编译SQL语句（Prepared Statements）。
- 严格验证用户输入。
- 案例：登录表单中，攻击者输入
' OR '1'='1'绕过认证。
3. 跨站请求伪造（CSRF）
- 攻击方式：通过伪造请求，在用户不知情时操作其账户（如转账、改密码）。
- 防御：
- 使用CSRF token。
- 限制请求来源（Referer验证）。
- 案例：用户在登录状态下，点击恶意链接触发转账操作。
4. 文件上传漏洞
- 攻击方式：攻击者上传恶意文件（如脚本文件）并通过该文件控制服务器。
- 防御：
- 限制上传文件类型与大小。
- 设置文件上传路径为不可执行目录。
- 案例：上传图片功能中允许上传PHP文件，攻击者通过此文件获取服务器权限。
5. 拒绝服务攻击（DoS/DDoS）
- 攻击方式：通过大量请求让服务器无法正常提供服务。
- 防御：
- 配置防火墙，限制单个IP请求频率。
- 使用CDN或负载均衡。
- 案例：某电商网站遭遇大量无效请求，导致服务器崩溃。
6. 中间人攻击（MITM）
- 攻击方式：攻击者拦截用户与服务器之间的通信，窃取数据或篡改内容。
- 防御：
- 强制使用HTTPS加密通信。
- 使用数字证书确保通信安全。
- 案例：攻击者通过伪造Wi-Fi热点拦截用户登录请求，窃取登录凭据。
总结
防御攻击的关键在于输入验证、加密通信、使用安全的编程实践。案例帮助理解这些攻击的现实应用。
