应用安全 · 学习指南

应用安全 · 学习指南

本模块覆盖浏览器、网站、账号体系等在“应用层”的安全问题，是诈骗与信息泄露的主战场。

一、核心概念

XSS 跨站脚本：攻击者在网页中注入脚本，在其他用户浏览时执行，可能窃取登录信息或篡改页面内容。防御靠对输入输出进行过滤和转义。

SQL 注入：通过在输入中构造数据库语句，让网站把输入当成命令执行，从而非法读取或篡改数据库。防御靠参数化查询（预编译）。

CSRF 跨站请求伪造：诱导已登录用户在不知情的情况下发出请求，以用户名义执行操作。防御靠令牌校验等手段。

文件上传漏洞：网站对上传文件类型限制不严，攻击者可上传恶意程序并执行。防御靠白名单校验和重命名。

浏览器安全：注意地址栏锁标志与域名拼写；出现证书警告不要忽略；无痕模式只是不保留本地记录，不能隐藏你的行踪，也不能防病毒。

Cookie 与登录态：Cookie 保存登录凭证，被窃取后攻击者可直接冒用身份。因此不要在公共电脑保存登录状态。

强密码与口令策略：长度比复杂度更重要；不用生日、姓名、手机号；一个网站一个密码；不与其他网站复用。

多因素认证：三要素是：你知道的（口令）、你拥有的（手机/令牌）、你是什么（指纹人脸）。组合两种以上更安全，邮箱、支付、社交账号最应该开启。

撞库与拖库：拖库是数据库被批量窃取；撞库是用泄露的账号密码去批量尝试其他网站。这就是不能用同一套密码的原因。

账号被盗后的处置：先改密码 → 检查是否有异常转发规则和陌生登录设备 → 开启两步验证 → 通知联系人防冒充诈骗。

二、必记要点

• 验证码的作用是防止自动化批量尝试和暴力破解。
• 网站地址栏显示锁标志说明用了 HTTPS，但不代表网站可信。
• 扫二维码前先确认来源，不扫街边来路不明的码。
• 不安装来源不明的浏览器插件，插件能读取页面内容。
• 软件从官方渠道下载，破解版与注册机常夹带木马。
• 发生信息泄露后要改的不只是被泄露的那个网站，同密码的其他网站也要改。

三、易错提醒

• 以为无痕模式可以隐匿上网行为——它对网站和网络运营商都是可见的。
• 以为密码越复杂越安全而忽视长度——长度对暴力破解的影响更大。
• 以为“记住密码”很方便——在公共设备上会直接泄露账号。
• 把 Base64、URL 编码当成加密——它们只是编码，任何人都能还原。

四、记忆口诀

账号安全三原则：一站长一密码、验证码不外泄、重要账号开两步验证。