WEB漏洞与网络设备常见漏洞详解

          网络设备的安全是整个网络空间安全的关键，常见的有：交换机、路由器、防火墙等网络设备。这些设备是互联网世界的连接环节，作为计算机网络中的连接点，起着非常重要的作用。目前，PC和移动终端的安全问题引起了各国和地区的关注，但由于网络设备在后端的隐藏，人们对安全缺乏了解。恶意攻击者一旦实现网络设备的控制，就可以直接观察到连接的终端设备，导致数据和数据泄露以及严重的网络安全问题。网络设备的漏洞主要与网络协议有关。网络协议漏洞的主要形式是内存损伤，而内存损伤漏洞的类型主要是拒绝服务。例如，Cisco的操作系统CiscoiOS作为一个大的二进制程序，直接在主CPU上运行。如果发生以下情况：CPU使用异常，内存损坏，设备将重启。此外，CiscoASA在Linux系统上运行的程序是：lina和lina_monitor，当lina有问题时，lina_monitor将重启设备。由于网络设备的漏洞主要体现在协议上，当漏洞出现在协议的角落或一些更新的协议上时，更难发现漏洞。

Web漏洞Web漏洞一般是指发生在客户端上的漏洞，通常是指后端设计或逻辑错误造成的漏洞，客户端的某些特征，如同源政策造成的漏洞。

常见的漏洞有五种SQL注入漏洞、XSS跨站脚本攻击、目录遍历、CSRF跨站要求伪造攻击、界面操作劫持。XSS跨站脚本攻击占所有Web漏洞的很大比例，比其他漏洞更有害。1.SQL注入漏洞是程序员开发程序时产生的漏洞，是程序员编码能力不一致造成的。例如，如果程序重新传输的参数或程序中的变量判断不合理，可能会产生数据库攻击，暴露数据隐私，甚至可能导致病毒等恶意代码植入数据库。2.XSS跨站脚本攻击XSS跨站脚本攻击是Web客户端漏洞中最广泛的漏洞之一。在提供外部输入的情况下，XSS可能会对安全造成威胁，其执行脚本可以是Js代码等等。浏览器将用户输入视为代码执行，导致漏洞。

XSS分为三类：反射XSS、存储XSS和DOMXS。最常见的问题是没有检查和分析外部输入。其中，反射XSS是由于URL中的参数被攻击者篡改，传输到服务器的数据直接在浏览器中解析为JS代码而不转换或过滤。存储XSS是因为用户将恶意代码直接存储在网站的服务器端，输入没有过滤。当其他用户浏览此数据时，输出没有过滤，用户将受到攻击。3.目录全历目录全历攻击通常利用服务器缺乏安全认证，或者用户特别处理传输的文件，导致服务器在执行相应文件时恶意输入字符，达到非法获取文件权限的目的。在Web应用程序中，如果以外部参数的形式运行文件（如攻击者通过传输URL），如果文件名没有得到充分验证，则可能导致目录遍历攻击。