跳到主要内容

点击劫持与中间人攻击

点击劫持如何实施与防御？​

  • 实施: 把目标页面 UI 设为透明并覆盖在诱饵页面上, 诱导用户点击;
  • 后果: 用户在自己已登录的站点上执行了非法操作;
  • 防御: 用 X-Frame-Options 禁止或限制页面被 iframe 嵌入;

后门程序有什么风险？​

  • 定义: 程序中隐藏的入口, 可通过非正常操作执行特定功能;
  • 后果: 绕过正常认证与审计, 长期控制服务器;

中间人攻击如何实施？​

  • 定义: 攻击者在两个终端之间插入自己的设备或程序;
  • 手法: 分别假扮双方身份转发通信, 窃取数据或操纵通信内容;
  • 前提: 攻击者能截获并转发通信, 例如公共网络或已被掉包的公钥;

如何防御中间人攻击？​

  • 使用 HTTPS 与 SSL/TLS, 依靠证书验证对端身份;
  • 避免使用公共网络, 避免未知连接、邮件与程序;
  • 及时更新安全硬件、软件、防火墙与安全策略;