不同类型黑掉网页的示例

如果您需要我们帮助您黑掉一个网页，请联系我们！

我们可以通过几种不同的方式教您如何黑掉網頁。以下是不同网络攻击的一些示例。

1.SQL 注入攻击

SQL 注入攻击需要黑客向应用程序提供恶意 SQL 查询。该查询使黑客能够从数据库中读取关键信息，甚至执行未经授权的命令，从而导致关键数据丢失和泄露。

这种类型的网络攻击使黑客能够欺骗身份、更改数据、造成欺诈和损害公司声誉。这些攻击在 PHP 和 ASP 应用程序中很普遍，因为它们具有旧的接口。注入攻击的严重程度取决于黑客的熟练程度。如果网站没有受到适当的安全措施保护，则很容易被利用。

不同类型的 SQL 注入攻击

攻击分为三类，具体取决于他们访问数据并损坏数据的方式。这些是带内SQLi（经典），推理SQLi（盲）和带外SQLi。

• 带内 SQLi： 如果使用的SQL非常简单，则可以破解。在这种类型的SQL注入攻击下，黑客使用网络内的同一通道发起攻击并获取数据。它有两种不同的变体，下面提到。
• 基于错误的 SQLi：由于攻击者的操作，数据库会生成错误消息。根据结果，攻击者可以了解该特定应用程序的数据库结构。
• 基于联合的 SQLi：此技术适用于 UNION SQL 运算符，该运算符包含多个选择语句，并将它们转换为包含有关应用程序的必要信息的单个 HTTP 响应。
• 推理（盲）SQLi： 在这种攻击下，黑客会向服务器发送大量数据，观察服务器的响应和行为。通过这种方式，攻击者将分析有关其结构的信息。在这里，攻击者不会看到实际数据，因为它不会从网站数据库传输回攻击者。此攻击将减慢服务器进程。盲SQL注入有两种变体，如下所示：
• 布尔：向数据库发送 SQL 查询，攻击者分析查询的输出，无论它是真还是假。此外，HTTP 响应中的数据将相应更改。
• 基于时间：此查询使数据库等待几秒钟，然后再做出反应。攻击者分析响应该查询所花费的时间。它将根据所花费的时间创建 HTTP 响应。攻击者可以在不进入实际数据库的情况下假定结果。
• 带外 SQLi：仅当在数据库服务器上启用了某些功能时，才会发生此攻击。这取决于服务器创建 DNS 或 HTTP 请求以将数据传输到攻击者的能力。如果任何方法没有提供攻击者预期的结果，他们就会采用这种技术。

SQL 注入如何工作？

攻击者可以选择以下方式实现SQL注入窃取数据。攻击者可以选择以下任一方式。

• 在用户输入字段中注入SQL查询：在这里，黑客将SQL查询输入到用户输入字段中，并将它们传递给数据库进行处理。如果数据库接受输入而不清理它们，则攻击者可以执行他们想要的任何操作。
• 通过 cookie 注入 SQL 查询：攻击者试图从存储的 cookie 中获取数据，因此他们在设备上放置恶意软件以修改 cookie 数据并在那里注入查询以访问数据库。
• 通过 HTTP 标头注入 SQL 查询：如果应用程序从标头获取输入并获取对数据库的访问权限，则攻击者可以在 HTTP 标头中注入查询。

SQL 注入的影响

• 绕过身份验证并模拟其他用户以获取对数据库的访问权限。
• 泄露/窃取数据以将其用于自身利益。
• 修改关键数据以造成欺诈。
• 删除数据会损害声誉。
• 运行任意代码以获得乐趣。
• 获取对系统本身的根访问权限并执行 SQL。

例

首先，攻击者将发现漏洞，然后注入SQL查询。根据以下示例，攻击者获取特定产品的必要信息，可以将其更改为读取 http://www.estore.com/product/product.asp?productid=999 或 1=1。这会将以下查询发送到数据库-

SELECT ProductName,ProductDescription
FROM Product
WHERE ProductNumber = 999OR1=1

由于条件 1=1，该语句将始终为 true，并返回所有产品详细信息。

如何防止这种攻击？

您可以通过清理输入以识别未经授权的用户来访问关键数据来防止此攻击。

2. 跨站点脚本攻击

通过这种攻击，黑客冒充受害者以获取受害者数据。这些攻击也称为 XSS，会损害用户与应用程序的交互。在这种攻击下，攻击者会创建相同的环境，使不同的网站保持不同。如果攻击者获得对特定应用程序的特权访问权限，他们可能会损害存储在应用程序中的关键数据。

攻击从受害者对应用程序或网页的访问开始。攻击者在受害者的 Web 浏览器中执行恶意 JavaScript 代码。一旦用户访问网页，网页就充当传递注入代码的工具。攻击者可以在网页中注入代码的一些示例是 – 论坛，评论等。

跨站点脚本攻击的影响

以下是对用户的一些影响：

• 泄露/窃取数据以将其用于自身利益。
• 修改关键数据以造成欺诈。
• 删除数据会损害声誉。
• 运行任意代码以获得乐趣。

如何防止跨站点脚本攻击

确保实施以下策略以防止发生此攻击。

• 确保应用程序的表单筛选出用户提供的输入。
• 始终对确保安全的输出数据进行编码。
• 确保使用适当的响应标头。
• 此外，实施与内容相关的安全策略。

不同类型的 XSS

有三种不同类型的攻击可用。

• 反射式跨站点脚本攻击

这种类型的攻击很容易创建。攻击者在应用程序的HTTP请求中提供代码，并通过即时响应获取数据。

例如：

https://xyz-website.com/status?message=<script>/*+malicioud code…+*/</script><p>Status： <script>/* 恶意代码… */</script></p>

每当用户单击应用程序HTTP请求并访问上述URL时，注入的脚本将在Web浏览器中执行。脚本可以获取必要的信息，删除数据等。

• 存储的跨站点脚本

在此攻击中，应用程序可能从不受信任的源接收数据，并将该数据包含在 HTTP 响应中供服务器处理。

数据可以通过 HTTP 请求注入到应用程序中。例如，评论、客户订单的联系方式等。

例如：

该应用程序的评论部分允许用户提交如下消息。

<p>Hello, data</p>

攻击者可以轻松发送消息，甚至可能损害可以从评论部分访问该消息的其他用户。

<p><script>/* malicious code... */</script></p>

• 基于 DOM 的跨站点脚本

当应用程序具有客户端 JavaScript 处理来自不受信任源的数据并将数据写回 DOM 时，会发生此攻击。

在下面提到的示例中，JavaScript 代码从输入字段中读取值，并向 HTML 元素提供提供的值，如下所示。

var search = document.getElementById('search').value;
var results = document.getElementById('results');
results.innerHTML = 'You searched for: ' + search;

如果攻击者控制输入字段的值，他们可以插入恶意值来执行：

您搜索了：

<img src=1 onerror='/* malicious code... */'>

3. 拒绝服务攻击 （DDoS/DoS）

分布式拒绝服务 （DDoS） 攻击会让目标服务器溢出大量请求，从而影响目标服务器的常规流量。它们通常在感染恶意软件并由攻击者远程控制的连接设备网络中执行。这些单独的设备称为机器人，攻击者将向其发送远程指令以执行。当机器人以服务器为目标时，它会向目标的 IP 地址发送请求，并使服务器不堪重负，从而导致严重损坏。

不同类型的 DDoS 攻击

以下是攻击者通常实施的不同类型的 DDoS 攻击。

• TCP 连接攻击： 此攻击将占用您的所有连接，例如负载均衡器、防火墙、应用程序服务器，从而导致处理实际请求的延迟。
• 体积攻击： 以目标网络内或目标网络与 Internet 之间的应用程序带宽为目标，以造成拥塞。
• 碎片攻击： 这会将 TCP 或 UDP 片段泛滥到受害者的流中，从而降低性能。
• 应用程序攻击： 压倒特定应用程序的方面并导致生成低流量速率。
• DNS 反射： 攻击者伪造受害者的IP，向DNS服务器发送一个小请求，并向用户发送大量回复。

DDoS 攻击的影响

以下是在服务器和计算机中可以看到的影响。

• 来自特定 IP 地址的流量不必要地增加。
• 来自具有相同行为配置文件（例如设备类型、地理位置等）的特定用户组的流量意外增加。
• 有时，发送到单个页面或终结点的请求会增加。
• 流量在奇数天高峰。

如何防止DDoS攻击

以下是一些防止DDoS攻击的方法。

• 限制 Web 服务器路由器的速率。
• 向路由器添加适当的过滤器，以防止来自可疑来源的传入数据包。
• 设置连接的强制超时。
• 使用强大的防火墙抵御 DDoS 攻击。
• 使用来自 Akamai、Cloudflare、VeriSign、Arbor Networks 等供应商的第三方 DDoS 缓解软件。

4. DNS欺骗攻击

域名系统 （DNS） 中毒和欺骗主要利用 DNS 服务器的漏洞，将流量从有效服务器转移到虚假服务器。如果受害者访问了欺诈页面，他将被转移到另一个对您的系统造成损害的网站。这种攻击的主要影响是数据盗窃。

若要执行此攻击，客户端从 DNS 服务器请求 IP 地址。然后，他们会收到包含虚假 IP 地址的响应，而没有与客户端请求的地址建立连接。因此，请求转到恶意主机，主机在没有安全证书的情况下将合法网站返回给客户端。

不同类型的 DNS 欺骗攻击

以下是不同类型的 DNS 欺骗攻击。

• 本地路由器攻击

在此攻击下，攻击者更改数据并向本地设备添加恶意代码。受害者无法分辨出区别，也无法分辨他们的系统是否有任何损害。但是，对于请求的主机名，将返回不正确的 IP 地址。攻击将持续到篡改得到纠正。例如，更改DNS服务器的详细信息，篡改本地系统上的主机文件，劫持本地路由器等。

• DNS 服务器响应攻击

也称为中间人攻击，攻击者假装是受害者并发送恶意响应。这种攻击是可能的，因为 DNS 流量使用未加密的用户数据报协议，因此无法验证 DNS 响应的真实性。

• 一个 DNS 服务器

这种类型的 DNS 欺骗攻击以有效的 DNS 服务器为目标，并影响许多用户。例如 – 毒害服务器上的 DNS 缓存、劫持 DNS 服务器等。

如何防止 DNS 欺骗攻击

以下是防止DNS欺骗攻击的方法-

• 限制递归查询并防止潜在的中毒攻击。
• 仅存储与请求的域相关的数据。
• 将响应限制为仅与请求的域有关。
• 强制客户端使用 HTTPS。

5. 跨站请求伪造攻击

跨站点请求伪造 （CSRF） 攻击受害者，并在没有授权访问权限的情况下对 Web 应用程序执行攻击者预期的一些不需要的操作。攻击者诱骗受害者执行攻击者选择的一些非法操作。

如果万一，受害者是普通用户;攻击者只能执行转账、更改电子邮件地址等操作。如果受害者具有管理访问权限，CSRF 可能会影响整个 Web 应用程序。

主要影响是服务器状态更改、数据泄露和非法转移资金。

跨站点请求伪造攻击的工作原理

当受害者尝试访问网站时，浏览器会自动从保存的 cookie 中选择他们的凭据，以使登录过程无缝。一旦用户传递了他们的登录凭据，网站就无法区分伪造和合法的请求。在这种情况下，攻击者可以轻松冒充受害者。攻击者通常遵循以下过程：

• 攻击者使用社会工程方法影响受害者单击恶意代码链接。
• 该链接将触发对目标站点的请求。
• 该请求应来自具有相同凭据的用户，并利用保存的数据登录到网站。
• 网站响应传入的请求并执行攻击者请求的操作。

跨站请求伪造攻击示例

下面是一个示例，说明 5，000 美元银行转帐的简单 GET 请求的工作原理：

GET https://abank.com/transfer.do?account=RandPerson&amount=$5000 HTTP/1.1

• 攻击者可以使用以下代码更改脚本以将 5，000 美元的金额转移到其帐户：

GET https://abank.com/transfer.do?account=SomeAttacker&amount=$5000 HTTP/1.1

如何防止跨站点请求伪造攻击

以下是防止此攻击的最佳做法：

• 确保在不使用时始终从登录的 Web 应用程序注销。
• 使用强用户名和密码以避免伪造。
• 尽量不要访问并行浏览器来执行关键工作。

结论

我们只提到了在未维护安全性的简单网站上最常见的攻击。如今，技术变得如此先进，以至于它可以帮助攻击者获得他们想要的东西。他们所需要的只是正确使用网络内的通信。每个组织和网站都有其独特的安全策略和一些强大的策略。但是一些黑客可以入侵您的系统并制造错误。

如果您想避免对您的网站进行此类攻击以保护其完整性，那么您必须了解网站如何被黑客入侵以及可以采取哪些措施来避免它们。阅读本文，找到您网站的潜在威胁点并消除威胁。

有兴趣了解有关网站安全的更多信息吗？查看这些信息安全和道德黑客教程。