很多用户认为，在网络中不断部署防火墙，入侵检测系统(IDS)，入侵防御系统(IPS)等设备，可以提高网络的安全性。但是为何基于应用的攻击事件仍然不断发生?其根本的原因在于传统的网络安全设备对于应用层的攻击防范，作用十分有限。目前的大多防火墙都是工作在网络层，通过对网络层的数据过滤(基于TCP/IP报文头部的ACL)实现访问控制的功能;通过状态防火墙保证内部网络不会被外部网络非法接入。所有的处理都是在网络层，而应用层攻击的特征在网络层次上是无法检测出来的。IDS，IPS通过使用深包检测的技术检查网络数据中的应用层流量，和攻击特征库进行匹配，从而识别出以知的网络攻击，达到对应用层攻击的防护。但是对于未知攻击，和将来才会出现的攻击，以及通过灵活编码和报文分割来实现的应用层攻击，IDS和IPS同样不能有效的防护。

可以看出暴风门事故中被攻击的私服网站自身的安全防御技术很高，但是在遭受到DDOS攻击时还是不堪一击。而且现在绝大部分企业对自身网站的网络安全未有足够的重视。网络安全遭受到有史以来最严重的威胁。

笔者在与网络安全专家的谈话中了解到目前常见的Web攻击分为两类：一是利用Web服务器的漏洞进行攻击，如CGI缓冲区溢出，目录遍历漏洞利用等攻击;二是利用网页自身的安全漏洞进行攻击，如SQL注入，跨站脚本攻击等。

常见的针对Web应用的攻击有：

缓冲区溢出——攻击者利用超出缓冲区大小的请求和构造的二进制代码让服务器执行溢出堆栈中的恶意指令

Cookie假冒——精心修改cookie数据进行用户假冒

认证逃避——攻击者利用不安全的证书和身份管理

非法输入——在动态网页的输入中使用各种非法数据，获取服务器敏感数据

强制访问——访问未授权的网页

隐藏变量篡改——对网页中的隐藏变量进行修改，欺骗服务器程序

拒绝服务攻击——构造大量的非法请求，使Web服务器不能相应正常用户的访问

跨站脚本攻击——提交非法脚本，其他用户浏览时盗取用户帐号等信息

SQL注入——构造SQL代码让服务器执行，获取敏感数据

【编辑推荐】

1. 暴风影音今日公布“暴风门”特别版(附下载地址)
2. 暴风门特别版提前完工邀五大安全厂商联手认证