網(wǎng)站安全體系架構(gòu)概述(文件)
【正文】 cuix)179。 白盒測(cè)試（代碼和開發(fā)生命周期）? 產(chǎn)品179。 img src= onerror=alert(/xss/)179。 179。 應(yīng)用防火墻 34對(duì)策一配置和管理應(yīng)用程序安全設(shè)計(jì)原則? 權(quán)限區(qū)域劃分? 使用最少的特權(quán)? 應(yīng)用深入的防御手段? 不要信任用戶的輸入? 在網(wǎng)關(guān)處進(jìn)行檢查? 出現(xiàn)故障時(shí)的安全性? 保證最脆弱的鏈接的安全? 創(chuàng)建安全的默認(rèn)值? 減小受攻擊的范圍 36應(yīng)用程序安全關(guān)注點(diǎn)? “ 如何安全地處理異常？ ” ? “ 如何保證開發(fā)人員工作站的安全性？ ” ? “ 如何編寫具有最低權(quán)限的代碼？ ” ? “ 如何限制文件 I/O？ ” ? “ 如何防止 SQL 注入？ ” ? “ 如何防止跨站點(diǎn)腳本編寫？ ” ? “ 如何管理機(jī)密？ ” ? “ 如何安全調(diào)用非托管代碼？ ” ? “ 如何執(zhí)行托管代碼的安全復(fù)查？ ” ? “ 如何執(zhí)行安全的輸入驗(yàn)證？ ” ? “ 如何保證窗體身份驗(yàn)證的安全性？ ” 37防范注入式攻擊? 檢查用戶輸入179。 編寫安全的應(yīng)用程序? 安全掃描179。 VBScript? 偷取和仿冒用戶身份和信息179。 目標(biāo)主機(jī) D盤下的文件目錄 20利用漏洞列目錄 21利用漏洞進(jìn)行攻擊22注入式攻擊注入式攻擊? 全稱為 “ SQL注入式攻擊 ”? 攻擊者利用網(wǎng)站動(dòng)態(tài)網(wǎng)頁程序設(shè)計(jì)上的漏洞，在目標(biāo)的 Web服務(wù)器上運(yùn)行 SQL命令? 繞過登錄身份檢查、獲得系統(tǒng)管理員密碼、非法獲取數(shù)據(jù)、非法篡改數(shù)據(jù)、生成非法文件、非法執(zhí)行命令等24漏洞原理? 攻擊者在表單輸入或者 URL請(qǐng)求中發(fā)送 SQL語句片斷，期望通過 Web應(yīng)用腳本合成為帶有攻擊目的的 SQL語句? 應(yīng)用腳本： ASP、 JSP、 PHP? 數(shù)據(jù)庫：一切支持 SQL的數(shù)據(jù)庫系統(tǒng) SQL注入機(jī)理分析 數(shù)據(jù) 庫應(yīng) 用程序服 務(wù) 器客 戶 端（ 瀏覽 器）請(qǐng) 求 響 應(yīng) 查詢 結(jié) 果集 SQL注入機(jī)理分析（續(xù)） //構(gòu)建 SQL查詢語句 = “SELECT name FROM tbUserInfo WHERE id=( 用戶輸入的數(shù)據(jù))” 用戶名： wc’ or 1=1 密碼： xxxxSELECT name FROM tbUserInfo WHERE id= ’wc’ or 1=1 SQL注入攻擊的一般過程 探測(cè)注入點(diǎn)確定數(shù)據(jù)庫類型和版本 猜解數(shù)據(jù)庫結(jié)構(gòu)確定當(dāng)前用戶權(quán)限提取信息篡改數(shù)據(jù)…發(fā)起高級(jí)攻擊使用特定存儲(chǔ)過程 遍歷目錄結(jié)構(gòu)…修改注冊(cè)碼… SQL注入攻擊的特點(diǎn) SQL注入漏洞是一個(gè)入口，攻擊者通過它可以發(fā)動(dòng)更高級(jí)的攻擊，例如控制目標(biāo)系統(tǒng)。 繞過 IIS的路徑檢查179。179。 存在于 Windows NT/2023 ()中179。 多個(gè)應(yīng)用系統(tǒng)不同的開發(fā)者，組織的缺陷 10Web攻擊事件 篡改網(wǎng)頁 11Web攻擊事件 篡改數(shù)據(jù)12Web攻擊事件 跨站攻擊13Web攻擊事件 注入式攻擊14Web攻擊事件 非法上
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1