应用层攻击针对OSI模型的第七层（应用层），主要利用协议漏洞、业务逻辑缺陷或用户交互弱点，直接威胁Web应用、API、数据库等服务。以下是常见应用层攻击类型及其流程，以及防御措施：
1. SQL注入（SQL Injection）
攻击流程：
- 漏洞探测：攻击者向输入字段（如登录框、搜索栏）提交试探性SQL语句（如
' OR 1=1 --）。 - 语句构造：若应用未过滤输入，恶意SQL语句被拼接至数据库查询中。
- 数据窃取/篡改：执行非法操作（如提取用户表、删除数据、绕过身份验证）。
防御措施：
- 使用参数化查询（预编译语句）或ORM框架。
- 输入验证与过滤（白名单机制）。
- 部署Web应用防火墙（WAF）拦截恶意语句。
2. 跨站脚本攻击（XSS）
攻击流程：
- 注入恶意脚本：攻击者在用户可输入区域（如评论框）插入JavaScript代码（如
<script>alert('XSS')</script>）。 - 脚本传播：未转义的脚本被服务器存储或直接反射到其他用户页面。
- 用户劫持：受害者浏览器执行恶意脚本，窃取Cookie、重定向到钓鱼网站或劫持会话。
防御措施：
- 对用户输入和输出内容进行HTML转义（如
&转&）。 - 设置HTTP头
Content-Security-Policy (CSP)限制脚本来源。 - 标记Cookie为
HttpOnly和Secure。
3. 跨站请求伪造（CSRF）
攻击流程：
- 构造恶意请求：攻击者创建伪装成合法操作的请求链接（如转账URL）。
- 诱导用户触发：通过钓鱼邮件、恶意网站诱导已登录用户点击链接。
- 执行非授权操作：用户浏览器自动携带Cookie发送请求，执行攻击者预设操作（如修改密码）。
防御措施：
- 使用CSRF Token（服务端生成并验证唯一令牌）。
- 检查请求头
Referer或Origin字段。 - 关键操作需二次验证（如短信验证码）。
4. 应用层DDoS攻击
攻击流程：
- 模拟合法请求：攻击者发送大量高仿真的HTTP请求（如频繁访问登录页、API接口）。
- 资源耗尽：目标服务器因处理请求耗尽CPU、内存或数据库连接。
- 服务瘫痪：正常用户无法访问服务（如电商秒杀场景下的CC攻击）。
防御措施：
- 设置请求频率限制（如IP限速、人机验证）。
- 使用CDN缓存静态内容，减轻源站压力。
- 基于AI/ML的行为分析识别异常流量。
5. 钓鱼攻击（Phishing）
攻击流程：
- 伪造信任：攻击者仿冒合法网站或邮件（如银行、社交平台）。
- 诱导交互：通过链接、附件诱导用户输入敏感信息（账号、密码）。
- 信息窃取：攻击者获取数据后实施进一步攻击（如账户盗用、勒索）。
防御措施：
- 用户教育（识别钓鱼邮件特征）。
- 部署邮件网关过滤恶意链接。
- 启用多因素认证（MFA）降低凭证泄露风险。
6. 文件上传漏洞
攻击流程：
- 上传恶意文件：攻击者上传包含后门（如
.php、.jsp）或恶意脚本的文件。 - 服务器执行：若服务器未限制文件类型或未隔离存储，恶意文件被解析执行。
- 控制服务器：攻击者获取服务器权限，植入木马或窃取数据。
防御措施：
- 限制上传文件类型（白名单校验扩展名和MIME类型）。
- 重命名文件并存储至非Web目录。
- 使用杀毒软件扫描上传内容。
7. API滥用攻击
攻击流程：
- 接口探测：攻击者枚举API端点（如
/api/v1/users）。 - 越权访问：利用未授权访问漏洞（如未鉴权的管理接口）获取敏感数据。
- 数据泄露：批量爬取用户信息或滥用业务逻辑（如无限领取优惠券）。
防御措施：
- 实施严格的身份认证与权限控制（OAuth 2.0、JWT）。
- 限制API调用频率与返回数据量。
- 使用API网关监控和日志分析。
8. 命令注入（Command Injection）
攻击流程：
- 注入系统命令：攻击者通过输入字段注入操作系统命令（如
; rm -rf /）。 - 服务端执行：应用未过滤直接调用系统命令（如调用
ping命令）。 - 系统控制：攻击者执行任意命令，删除文件或反弹Shell。
防御措施：
- 避免直接拼接用户输入到系统命令。
- 使用安全的函数替代（如Python的
subprocess而非os.system）。 - 输入内容严格校验（禁止特殊字符）。
9. 业务逻辑漏洞
攻击流程：
- 逻辑绕过：攻击者利用业务流程缺陷（如修改价格参数、重复提交订单）。
- 非法获利：通过篡改数据或绕过限制实现非预期操作（如0元购、刷积分）。
- 系统失衡：破坏业务规则，导致资金损失或数据混乱。
防御措施：
- 关键业务操作服务端二次校验（如支付金额、库存）。
- 记录并审计用户操作日志。
- 设计业务流程时进行威胁建模。
10. 零日漏洞利用
攻击流程：
- 漏洞发现：攻击者挖掘未公开的应用程序漏洞（如框架缺陷、配置错误）。
- 编写Exploit：开发利用代码绕过现有防护措施。
- 定向攻击：针对目标发起攻击，获取控制权或窃取数据。
防御措施：
- 定期更新应用和依赖库（如Java Log4j漏洞修复）。
- 参与漏洞赏金计划，提前发现潜在风险。
- 部署运行时应用自我保护（RASP）技术。
通用防御策略
- 纵深防御：结合WAF、IDS/IPS、日志监控等多层防护。
- 安全开发：遵循安全编码规范（如OWASP Top 10）。
- 定期渗透测试：模拟攻击检测漏洞。
- 最小权限原则：限制应用和用户的访问权限。
应用层攻击隐蔽性强且危害直接，需通过技术防护、流程管控和用户教育综合应对。