“不明攻何谈防”是网络安全领域的经典说法。其延伸含义是：倘若不了解网络攻击的来源，那么也就难以有效地实施主动防御。由于黑客的攻击手法千变万化，因此对攻击技术的深入分析与透彻理解，就成了网络安全厂商技术研究的核心所在。
网页被篡改的手段
网页篡改属于最为普遍的一类黑客攻击形式。它借助网页应用中的漏洞获取权限，非法修改Web应用中的内容并植入暗链、扩散恶意信息，直接威胁社会安全并牟取暴利。网页篡改的主要手段有四种：
一是SQL注入。攻击者在web应用程序中预先定义好的查询语句末尾追加额外的SQL语句，在管理员毫不知情的情况下完成非法操作，以此欺骗数据库服务器执行未授权的任意查询。
二是XSS攻击。跨站脚本攻击能够在合法的位置注入非法的HTML或JS代码。攻击得手后，攻击者可能获取包括但不限于更高权限（如执行某些操作）、私密网页内容、会话及cookie等各类信息。
三是控制Web服务器。攻击者可能借助服务器或第三方的漏洞，取得服务器权限、数据库管理权限，进而篡改页面。
四是检测与防护SQL注入攻击。通过过滤SQL危险字符如：”‘、select、where、insert、,、;”等将其进行无害化编码或转码，从根源上阻断；对提交至web服务器的数据包进行过滤检测是否包含”eval、wscript.shell、iframe”等。
防篡改的手段
“道高一尺，魔高一丈”。弄清了网页被篡改的手段，做好网页防篡改就有了方向。简单来说，网页防篡改的手段主要有五种：
一是强化安全策略。具体例如强密码与正确的管理员权限分配，以及访问安全策略的配置。
二是做好应用层防护。为了方便过滤、监控并阻断有害流量，Web应用层安全不可或缺。
三是重视开发安全。在开放访问的所有Web应用开发阶段，采用必要的安全编码规范。
四是搭建安全监测体系。利用安全监测体系验证网站的安全性，并对Web应用进行包括SQL注入漏洞、XSS漏洞等常见漏洞的排查。
五是及时修补漏洞。确保系统Web应用、中间件、操作系统等始终处于必要的补丁更新状态，防止黑客利用已知漏洞攻击自己的站点。
原创文章，作者：余初云，如若转载，请注明出处：https://blog.jidcy.com/jsjc/2886.html
