日前，Killnet黑客組織襲擊了意大利，使用的是一種舊的但仍然有效的攻擊方法，稱為“慢速http”。意大利計算機(jī)安全事件響應(yīng)小組(CSIRT)隨即發(fā)布了一項緊急警報，以提高對國家實體遭受網(wǎng)絡(luò)攻擊的高風(fēng)險的認(rèn)識。

該事件再次引發(fā)了人們對http漏洞的關(guān)注。http協(xié)議雖然依舊是當(dāng)前搭建網(wǎng)站的主流協(xié)議，但隨著互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展以及如今日益嚴(yán)峻的網(wǎng)絡(luò)安全問題，http協(xié)議的不安全性也越發(fā)明顯，黑客攻擊http協(xié)議仍然是最常見方式，具體主要有以下幾種攻擊方式。

跨站腳本攻擊(XSS)

攻擊者通過各種方法偽造一個請求，模仿用戶提交表單的行為，從而達(dá)到修改用戶的數(shù)據(jù)，或者執(zhí)行特定任務(wù)的目的。為了假冒用戶的身份，CSRF攻擊常常和XSS攻擊配合起來做，但也可以通過其它手段，例如誘使用戶點擊一個包含攻擊的鏈接。

跨站請求偽造攻擊(CSRF)

攻擊者通過各種方法偽造一個請求，模仿用戶提交表單的行為，從而達(dá)到修改用戶的數(shù)據(jù)，或者執(zhí)行特定任務(wù)的目的。為了假冒用戶的身份，CSRF攻擊常常和XSS攻擊配合起來做，但也可以通過其它手段，例如誘使用戶點擊一個包含攻擊的鏈接。

http Heads攻擊

凡是用瀏覽器查看任何WEB網(wǎng)站，無論你的WEB網(wǎng)站采用何種技術(shù)和框架，都用到了http協(xié)議。http協(xié)議在Response header和content之間，有一個空行，即兩組CRLF(0x0D 0A)字符。這個空行標(biāo)志著headers的結(jié)束和content的開始。只要攻擊者有辦法將任意字符“注入”到headers中，這種攻擊就可以發(fā)生。

Cookie攻擊

通過Java Script非常容易訪問到當(dāng)前網(wǎng)站的cookie。你可以打開任何網(wǎng)站，然后在瀏覽器地址欄中輸入：javascript：alert(doucment.cookie)，立刻就可以看到當(dāng)前站點的cookie(如果有的話)。攻擊者可以利用這個特性來取得你的關(guān)鍵信息。假設(shè)這個網(wǎng)站僅依賴cookie來驗證用戶身份，那么攻擊者就可以假冒你的身份來做一些事情。

重定向攻擊

最常用的攻擊手段就是“釣魚”。釣魚攻擊者，通常會發(fā)送給受害者一個合法鏈接，當(dāng)鏈接被點擊時，用戶被導(dǎo)向一個似是而非的非法網(wǎng)站，從而達(dá)到騙取用戶信任、竊取用戶資料的目的。

部署SSL證書保護(hù)網(wǎng)站信息安全

隨著互聯(lián)網(wǎng)的技術(shù)的不斷發(fā)展，http在黑客層出不窮的攻擊手段面前幾乎毫無招架之力，為避免數(shù)據(jù)泄露，保障網(wǎng)站和用戶信息安全，世界各國都督促其域內(nèi)網(wǎng)站通過部署SSL證書的方式提升網(wǎng)站防護(hù)能力，尤其是涉及用戶個人信息和交易系統(tǒng)的政務(wù)、金融、電商等網(wǎng)站，則被要求部署更高等級的SSL證書。

部署SSL證書后，可通過SSL協(xié)議幫助網(wǎng)站從“http”進(jìn)階為更加安全的“https”鏈接，通過開啟https綠色加密通道，可保障網(wǎng)站數(shù)據(jù)的加密傳輸，防止網(wǎng)站核心數(shù)據(jù)被竊取或篡改，使網(wǎng)站避免被黑客攻擊的可能。

同時，SSL證書可對網(wǎng)站服務(wù)器身份認(rèn)證，為網(wǎng)站提供國際通用的信任背書，讓真假網(wǎng)站一目了然，從而有效避免釣魚、欺詐網(wǎng)站對用戶的侵害，增加訪客的信心。

此外，SSL證書還具有防止運營商的流量劫持，阻止彈窗廣告，提升網(wǎng)站在搜索引擎中的排名等諸多作用，是企業(yè)在數(shù)字化轉(zhuǎn)型過程中最基礎(chǔ)的安全防護(hù)工具之一。

需要強(qiáng)調(diào)的是，無論哪種網(wǎng)站，部署SSL證書都必須向依法設(shè)立的CA機(jī)構(gòu)申請。成立于2000年的天威誠信是由工業(yè)和信息化部許可設(shè)立的電子認(rèn)證服務(wù)機(jī)構(gòu)，擁有國家授權(quán)的《電子認(rèn)證服務(wù)許可證》《電子認(rèn)證服務(wù)使用密碼許可證》,并通過了WebTrust國際安全審計認(rèn)證。

根據(jù)不同用戶的需求，天威誠信可提供涵蓋Digicert、GeoTrust 、GlobalSign、Entrust在內(nèi)的多品牌全類型SSL證書產(chǎn)品及安裝、管理等專業(yè)化服務(wù)，以及自主研發(fā)的支持國密SM算法的國產(chǎn)vTrus證書，致力于為中國企業(yè)提供更加安全的網(wǎng)絡(luò)空間防護(hù)保障。

免責(zé)聲明：市場有風(fēng)險，選擇需謹(jǐn)慎！此文僅供參考，不作買賣依據(jù)。

標(biāo)簽：