CSRF攻击
跨站点请求伪造。攻击者盗用用户身份发送恶意请求，执行攻击性代码进行攻击。
预防方法：
- 验证HTTP中的referer字段： HTTP中的referer字段中记录了该http的请求来源地址，黑客进行CSRF攻击时，必须在其带有攻击性代码的网站中进行请求伪造，当该请求发送至目标网站中时，referer字段中记录的请求来源地址实际上是黑客的网站地址。
- 在请求地址中添加token验证 CSRF攻击是利用存在cookie中的用户信息进行请求伪造和通过安全验证，在http请求中以参数的形式添加一个随机的token，并在服务器建立一个拦截器进行验证，如果请求中没有token或者token内容不正确，则可以认为是CSRF攻击。
- 在HTTP头中自定义属性并验证。
SQL注入
SQL注入是一种将SQL代码添加到输入参数中，传递到服务器解析并执行的一种攻击手法。SQL注入攻击是输入参数未经过滤，然后直接拼接到SQL语句当中解析，执行达到预想之外的一种行为，称之为SQL注入攻击。
- 数字注入：OR 1 =1
- 字符串注入（‘#’、’.... ‘）：'-- ' （--后面有个空格）：'--'后面的字符串都会被当成注释来处理；'#'后所有的字符串都会被当成注释来处理
SQL注入是怎么产生的？
1）WEB开发人员无法保证所有的输入都已经过滤
2）攻击者利用发送给SQL服务器的输入参数构造可执行的SQL代码（可加入到get请求、post请求、http头信息、cookie中）
3）数据库未做相应的安全配置
如何预防SQL注入？
1）严格检查输入变量的类型和格式
2）过滤和转义特殊字符
3）使用正则表达式过滤传入的参数
XSS攻击
跨站脚本攻击。通过对网页注入可执行代码且成功地被浏览器 执行，达到攻击的目的。
预防方法：
mysql_real_escape_string 函数转义 SQL 语句中使用的字符串中的特殊字符。
htmlspecialchars 函数把预定义的字符转换为 HTML 实体。
strip_tags() 函数剥去字符串中的 HTML、XML 以及 PHP 的标签。
Cookie攻击
Cookie窃取攻击，最基本的XSS跨站攻击方法就是窃取受害者Cookie信息。
Cookie窃取攻击的步骤
1、判断网站是否存在反射型XSS/存储型XSS漏洞
2、注入Cookie信息窃取的恶意代码
3、 冒充被害人身份登陆网站
其他攻击手段
攻击手段永远都比防御方法多得多。因此平时的业务中需要及时的添加各种攻击防御策略。
