web攻击技术有哪些：分类与识别方法

web攻击技术有哪些，主流类型包含注入攻击、跨站脚本XSS、跨站请求伪造CSRF、文件上传攻击、路径遍历、SSRF、命令注入、目录爆破、HTTP请求劫持，你可以通过请求参数异常、返回报错泄露、Cookie异常携带、资源越权访问这四类特征快速识别，注入类攻击多用于读取数据库数据，XSS偏向窃取前端身份凭证，CSRF利用用户已登录状态执行非自愿操作，文件上传和路径遍历以获取服务器文件权限为目标，SSRF攻击重点对内网服务发起探测，这套识别方式适合运维、安全测试人员在日常站点巡检使用，不适合无网络基础、不懂HTTP基础报文的新手直接复现攻击动作。

web攻击技术：注入类攻击

SQL注入是把SQL语句插入网页输入框、URL参数，后端未做过滤时直接执行数据库语句，攻击者可查询、修改库内数据，基础检测方式是在参数后添加单引号，观察页面是否抛出数据库报错。命令注入和SQL注入逻辑相近，目标是调用服务器系统命令，常见于接收文件名、IP输入的功能模块，防御核心是禁用系统命令拼接，使用白名单校验输入内容。

注入攻击的拦截重点在后端，前端校验只能降低自动化扫描触发概率，不能作为防护手段。

web攻击技术：前端会话类攻击

XSS跨站脚本分为存储型、反射型、DOM型，存储型把恶意脚本存入数据库，所有访问页面的用户都会触发，风险偏高；反射型脚本随单次请求传递，仅打开特制链接才生效；DOM型完全在前端JS内执行，不会把恶意代码传给后端。XSS主要用来盗取Cookie、伪造页面弹窗诱导用户提交信息。

CSRF跨站请求伪造构造第三方页面，在用户保持目标网站登录状态时，自动发起转账、改密等请求，请求本身不带恶意代码，只是冒用用户身份，站点配置SameSiteCookie属性可以大幅降低这类攻击风险。

web攻击技术：文件与路径类攻击

文件上传攻击针对上传头像、附件的功能，攻击者伪装脚本文件后缀，绕过后缀校验上传可执行文件，拿到服务器权限，常见绕过手段有修改文件头、大小写混淆后缀、添加空字符。路径遍历（目录穿越）使用../字符跳转目录，读取服务器配置文件、密钥文件，例如读取/etc/passwd或者Windows下的系统配置，防护方案是对读取路径做规范化处理，限制访问根目录。

web攻击技术：探测与暴力类攻击

目录爆破依靠字典批量请求不存在的路径，找到后台地址、备份文件、源码压缩包，这类攻击流量特征明显，短时间大量404请求，WAF可以基于访问频率做拦截。HTTP走私攻击利用前后端解析HTTP报文不一致的漏洞，绕过前端WAF规则，构造异常换行、分块编码报文传递恶意请求，属于难度偏高的攻击方式。

这类攻击大多不会直接拿到数据，更多是为后续攻击收集站点信息。

所有web攻击技术都需要配合漏洞存在才能生效，不存在可以直接攻击任意网站的通用载荷。