（1）1台计算机只有1个ip（一对一），即1个ip就是1台计算机

        （2）1个域名对1个或多个ip（计算机）：百度域名www.baidu.com的ip有119.75.218.70或119.75.217.109或......假如百度域名总共有10个ip，则就对应10台计算机，即多个计算机（ip）可以共同指向1个域名，也即119.75.218.70指向www.baidu.com，而119.75.217.109也指向www.baidu.com......

                但是，域名就相当于人名，ip就相当于这个人。一个人可以有多个名字，但1个名字只能代表1个人（排除同名同姓），否则就乱套了。所以，1个域名，在实际应用中，只对1个ip。如：百度部署了100台服务器，即百度域名对应100个ip。如果使用ip来访问百度，难道就可以让某人用100个不同的ip都能访问百度主页吗? 这不乱了吗。因此，需要用到反向代理。比如淘宝就用的Tengine，百度用的BWS，还有的用的nginx等等

        （3）1台计算机上面可以有好多个服务，也就是一个ip地址对应了好多个域名。即一台计算机（ip）可以访问百度域名，还可以是360域名等，但这台ip访问不同域名的时候，只能通过百度给定的1个ip访问百度，360给定的1个ip访问360

        （4）通过ip访问百度的流程：输入ip→访问IP地址→完成访问的内容→返回信息（输入的ip就是dns给你返回一个ip地址）

    35.SQL注入

用户名：&nbs***bsp;1 = 1 --
密 码：

1. 参数绑定：使用预编译手段，绑定参数是最好的防SQL注入的方法。目前许多的ORM框架及JDBC等都实现了SQL预编译和参数绑定功能，攻击者的恶意SQL会被当做SQL的参数而不是SQL命令被执行。在mybatis的mapper文件中，对于传递的参数我们一般是使用#和KaTeX parse error: Expected 'EOF', got '#' at position 11: 来获取参数值。当使用#̲时，变量是占位符，就是一般我们…时，变量就是直接追加在sql中，一般会有sql注入问题。
2. 使用正则表达式过滤传入的参数

        XSS是一种经常出现在web应用中的计算机安全漏洞，与SQL注入一起成为web中最主流的攻击方式。XSS是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些脚本代码嵌入到web页面中去，使别的用户访问都会执行相应的嵌入代码，从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。

        XSS攻击的危害

• 盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
• 控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
• ***企业重要的具有商业价值的资料
• 非法转账
• 强制发送电子邮件
• 网站挂马
• 控制受害者机器向其它网站发起攻击

        原因解析

• 主要原因：过于信任客户端提交的数据！
• 解决办法：不信任任何客户端提交的数据，只要是客户端提交的数据就应该先进行相应的过滤处理然后方可进行下一步的操作。
• 进一步分析细节：客户端提交的数据本来就是应用所需要的，但是恶意攻击者利用网站对客户端提交数据的信任，在数据中插入一些符号以及javascript代码，那么这些数据将会成为应用代码中的一部分了，那么攻击者就可以肆无忌惮地展开攻击啦，因此我们绝不可以信任任何客户端提交的数据！！！

        (1). 反射性XSS攻击 (非持久性XSS攻击)

                漏洞产生的原因是攻击者注入的数据反映在响应中。一个典型的非持久性XSS攻击包含一个带XSS攻击向量的链接(即每次攻击需要用户的点击)，例如，正常发送消息：

http://www.test.com/message.php?send=Hello,World！
															

																
																

																	1
																

															

                接收者将会接收信息并显示Hello,World；但是，非正常发送消息：

http://www.test.com/message.php?send=<script>alert(‘foolish!’)</script>！
															

																
																

																	1
																

															

                接收者接收消息显示的时候将会弹出警告窗口！

        (2). 持久性XSS攻击 (留言板场景)

                XSS攻击向量(一般指XSS攻击代码)存储在网站数据库，当一个页面被用户打开的时候执行。也就是说，每当用户使用浏览器打开指定页面时，脚本便执行。与非持久性XSS攻击相比，持久性XSS攻击危害性更大。从名字就可以了解到，持久性XSS攻击就是将攻击代码存入数据库中，然后客户端打开时就执行这些攻击代码。

<input type=“text” name=“content” value=“这里是用户填写的数据”> 
															

																
																

																	1
																

															

                正常操作流程是：用户是提交相应留言信息 —— 将数据存储到数据库 —— 其他用户访问留言板，应用去数据并显示；而非正常操作流程是攻击者在value填写:

<script>alert(‘foolish!’)；</script> <!--或者html其他标签（破坏样式。。。）、一段攻击型代码--> 
															

																
																

																	1
																

															

                并将数据提交、存储到数据库中；当其他用户取出数据显示的时候，将会执行这些攻击性代码。

        修复漏洞方针

            漏洞产生的根本原因是 太相信用户提交的数据，对用户所提交的数据过滤不足所导致的，因此解决方案也应该从这个方面入手，具体方案包括：

• 将重要的cookie标记为http only, 这样的话Javascript 中的document.cookie语句就不能获取到cookie了（如果在cookie中设置了HttpOnly属性，那么通过js脚本将无法读取到cookie信息，这样能有效的防止XSS攻击）；
• 表单数据规定值的类型，例如：年龄应为只能为int、name只能为字母数字组合。。。。
• 对数据进行Html Encode 处理
• 过滤或移除特殊的Html标签，例如: <script>, <iframe> , < for <, > for>, &quot for
• 过滤JavaScript 事件的标签，例如 “οnclick=”, “onfocus” 等等。

            需要注意的是，在有些应用中是允许html标签出现的，甚至是javascript代码出现。因此，我们在过滤数据的时候需要仔细分析哪些数据是有特殊要求（例如输出需要html代码、javascript代码拼接、或者此表单直接允许使用等等），然后区别处理！