網(wǎng)絡(luò)安全第7章web的安全(文件)
【正文】 ie 的一個簡便方法是在 Inter Explorer 中查找。雙擊一個 Cookie，在默認(rèn)的文本文件中打開它。 Cookie可根據(jù)個人喜好進(jìn)行欄目設(shè)定 ， 即時 、 動態(tài)地產(chǎn)生用戶所要的內(nèi)容 ， 這就迎合了不同層次用戶的訪問興趣 ， 減少用戶項(xiàng)目選擇的次數(shù) ， 更合理利用網(wǎng)頁服務(wù)器的傳輸帶寬 。 ? 要對從 Cookie中得到的信息持懷疑態(tài)度 ， 不要以為得到的數(shù)據(jù)就一定是當(dāng)初設(shè)想的信息 。 4． Cookie的安全設(shè)置 （ 2） 1） 單擊瀏覽器 “ 工具 ” 菜單 ， 選擇“ inter選項(xiàng) ” 進(jìn)入 。 CGI是一種通用網(wǎng)關(guān)接口 ， 稱之為一種機(jī)制更為合適 。 ? 在計(jì)算機(jī)領(lǐng)域 ， 尤其在 Inter上 ， 盡管大部分 Web服務(wù)器所編的程序都盡可能保護(hù)自己的內(nèi)容不受侵害 ， 但只要 CGI腳本中有一點(diǎn)安全方面的失誤 —— 口令文件 、 私有數(shù)據(jù) 、 以及任何東西 ， 就能使入侵者能訪問計(jì)算機(jī) 。 （ 2） 缺省提供的某些正常服務(wù)未關(guān)閉 。 （ 2） 邊界條件錯誤：對于 C語言編寫的 CGI程序 ， 這個錯誤使攻擊者可以發(fā)起緩沖區(qū)溢出攻擊 。 （ 6） 意外情況處理失?。?CGI程序中對意外情況的處理也非常重要 ， 如沒有檢查文件是否存在就直接打開 ， 有可能導(dǎo)致拒絕服務(wù) 。 如用文本編輯器編輯 CGI程序后 ， 會生成 “ .bak” 的后備文件 ，如果沒有及時刪除 ， 有可能導(dǎo)致代碼泄露等 。 （ 2） ASP中常用的標(biāo)準(zhǔn)組件 FileSystemObject提供了強(qiáng)大的文件系統(tǒng)訪問能力 ， 可以對服務(wù)器硬盤上的任何有權(quán)限的目錄和文件進(jìn)行讀寫 、 刪除 、 改名等操作 。 （ 4） NULL字節(jié)漏洞 ， 增加了請求確認(rèn)的功能 ， 對跨站腳本攻擊 、 腳本插入攻擊進(jìn)行一定的防護(hù) 。 數(shù)據(jù)流如下圖所示： （ 2） 安全數(shù)據(jù)流 2） 驗(yàn)證 在 Forms 身份驗(yàn)證方案中，應(yīng)用程序直接從用戶那里收集名字和密碼等憑據(jù)，并自己判斷這些信息的真實(shí)性。 （ 2） 安全數(shù)據(jù)流 （ 2） 安全數(shù)據(jù)流 （ 3） 身份驗(yàn)證 1） Windows 身份驗(yàn)證提供程序 ? 在 應(yīng)用程序中 ， Windows 身份驗(yàn)證將IIS所提供的用戶標(biāo)識視為已經(jīng)過身份驗(yàn)證的用戶 。 ? Windows 身份驗(yàn)證是 應(yīng)用程序的默認(rèn)身份驗(yàn)證機(jī)制 ， 并指定作為使用 authentication 配置元素的應(yīng)用程序的身份驗(yàn)證模式 。 2） Forms 身份驗(yàn)證提供程序 3） Passport 身份驗(yàn)證提供程序 ? Passport 身份驗(yàn)證是由 Microsoft 提供的集中身份驗(yàn)證服務(wù) ， 該服務(wù)為成員站點(diǎn)提供單一登錄和核心配置文件服務(wù) 。當(dāng)成員站點(diǎn)注冊到 Passport 服務(wù)時，將被授予站點(diǎn)特定的密鑰。 文件授權(quán)由 FileAuthorizationModule 執(zhí)行 。 URL 授權(quán)由 UrlAuthorizationModule 執(zhí)行 ， 它將用戶和角色映射到 應(yīng)用程序中的 URL。 ? 默認(rèn)情況下禁用 模擬 。 ? 將使用 進(jìn)程的標(biāo)識編譯應(yīng)用程序和加載配置信息 。 演講完畢，謝謝觀看！ 。 所模擬的應(yīng)用程序標(biāo)識需要對該目錄的讀 /寫訪問權(quán)限 。 該標(biāo)記既可以是已通過身份驗(yàn)證的用戶標(biāo)記 （ 如已登錄的 Windows 用戶的標(biāo)記 ） ， 也可以是 IIS 為匿名用戶提供的標(biāo)記 （ 通常為 IUSR_MACHINENAME 標(biāo)識 ） 。 （ 4） 授權(quán) ? 使用模擬時 ， 應(yīng)用程序可以用發(fā)出請求的用戶的 Windows 標(biāo)識 （ 用戶帳戶 ） 執(zhí)行 。ACL 權(quán)限用于驗(yàn)證用戶的 Windows 標(biāo)識 （ 如果已啟用 Windows 身份驗(yàn)證 ） 或 進(jìn)程的 Windows 標(biāo)識 。 授權(quán)決定了是否應(yīng)授予某個標(biāo)識對特定資源的訪問權(quán)限 。 如果希望站點(diǎn)與 Passport身份驗(yàn)證及授權(quán)兼容 ,則應(yīng)該使用該提供程序 。 ? 未經(jīng)過身份驗(yàn)證的請求被重定向到登錄頁 ，用戶在該頁上提供憑據(jù)和提交窗體 。 1） Windows 身份驗(yàn)證提供程序 ? 在 ， 使用 WindowsAuthentication Module 模塊來實(shí)現(xiàn) Windows 身份驗(yàn)證 。 作為一項(xiàng)原則，當(dāng)使用 Forms 身份驗(yàn)證時，需要在 IIS 中啟用匿名訪問。 （ 5） 跨站腳本漏洞 跨站腳本的 JavaScript可以在某個站點(diǎn)或電子郵件中放置一個惡意的 URL， 如用戶點(diǎn)擊了該 URL， 則用戶的機(jī)器會受到各種方式的入侵 ， 如獲取數(shù)據(jù)文件等 。 1． （ 3） SQL語句漏洞 Select語句在判斷查詢條件時 ， 遇到或 (or)操作就會忽略下面的與 （ and） 操作 。 ? 由于 ，所以它的強(qiáng)大性和適應(yīng)性 ， 可以使它運(yùn)行在 Web應(yīng)用軟件開發(fā)者的幾乎全部的平臺上 。 如采用脆弱的密碼機(jī)制 ， 導(dǎo)致窮舉攻擊；在 Cookie中存放賬號 、 密碼 ， 導(dǎo)致敏感信息泄露等 。 （ 4） 來源驗(yàn)證錯誤：如果 CGI程序沒有對信息的來源進(jìn)行驗(yàn)證或驗(yàn)證錯誤 ， 可能被利用進(jìn)行拒絕服務(wù)攻擊 。 （ 4） 應(yīng)用程序存在遠(yuǎn)程溢出 。 這里所說的 CGI安全 ， 主要包括兩個方面 ， 一是 Web服務(wù)器的安全 ， 一是 CGI語言的安全 。 將已經(jīng)寫好的 CGI程序放在 Web服務(wù)器的計(jì)算機(jī)上運(yùn)行 ， 再將其運(yùn)行結(jié)果通過 Web服務(wù)器傳輸?shù)娇蛻舳说臑g覽器上 。 3） 拖動設(shè)置滑塊 ， 將隱私設(shè)置調(diào)整到 “ 中 ”的等級 ， 設(shè)置好后單擊 “ 高級 ” ， 選中 “ 覆蓋自動 Cookie處理 ” 和 “ 總是允許會話 cookie”復(fù)選框 。 ? 選擇 “ 安全 ” 選項(xiàng)卡中的 “ 自定義級別 ” 。 2． Cookie的功能 ? Cookie是以純文本的形式存在的 ， 在瀏覽器和服務(wù)器之間傳送時 ， 任何可以截取 Web通信的人 ， 都可以讀取 Cookie。 ? 在“刪除瀏覽的歷史記錄”對話框中，單擊 “刪除 Cookie”。 Inter Explorer 將打開一個窗口，顯示所有的臨時文件，包括 Cookie。 這個文件與特定的 Web文檔關(guān)聯(lián)在一起 ， 保存了該客戶機(jī)訪問這個Web文檔時的信息 。 2． ActiveX控件的安全問題 （ 1） 啟動 IE瀏覽器 ， 點(diǎn)選菜單 \工具 \Inter選項(xiàng) ，選擇 “ 安全 ” 選項(xiàng)卡 ,如下圖所示： 3． IE瀏覽器中 Activex控件的設(shè)置 （ 2） 在選擇區(qū)內(nèi)請選擇 “ Inter” 圖標(biāo)；然后點(diǎn)擊下面的 “ 自定義級別 ” 按鈕 ， 如圖所
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1