【正文】 洞的瀏覽器訪問了類似頁面都會受到攻擊。 缺點：可能存在過濾不全的情況。主要過濾常見惡意 腳本代碼，如： applet|meta|xml|blink|link|style|script|embed|object|iframe|frame|frameset|ilayer|layer|bgsound|title|base OnX 事件代碼、 Javascript、 Vbscript 和 Style 中的 expression、 behaviour、script、 position 等。 防御手段二 : HttpOnly 保護級別： ★★★★ 描述： 設(shè)置 Cookie 的 HttpOnly 屬性，有效地防止 Cookie 通過腳本泄密（ IE6 SP1 以上、 Firefox 3）。它能有效的限制 HTML 代碼的使用，增強系統(tǒng)輸出的安全性。 缺點：不支持 HTML 代碼。有效防止跨站腳本攻擊，是 WEB程序是否安全的一個重要標(biāo)準(zhǔn)。 2. 跨站腳本攻擊的危害 入侵者便通過技術(shù)手段在某個頁面里插入一 個惡意 HTML 代碼，例如記錄論壇保存的用戶信息（ Cookie），由于 Cookie 保存了完整的用戶名和密碼資 料，用戶就會遭受安全損失。（可能存在過濾不完全和限制程序開發(fā)的問題） 優(yōu)點：能用于不能參數(shù)化而又難過濾的地方，如 table 的連接。參見 MSDN 雜志 優(yōu)點：在一定的程序上有效地防 止通過 URL 方式的注入。這種 SQL 注入比較隱蔽，所以要特別注意。這函數(shù)主要用于業(yè)務(wù)邏輯 層的過濾，對于數(shù)據(jù)庫，我們還使用了強制轉(zhuǎn)換函數(shù)，在命名空間 下的 DBHelper 類 ，如： ToValidId 函數(shù)等，主要用于數(shù)據(jù)庫無出錯的處理操作。 對于 in 類型，要轉(zhuǎn)換成規(guī)格的數(shù)字串或字符串。)。 防御手段二 :過濾與轉(zhuǎn)換 保護級別： ★★★★ 描述 : 對于數(shù)據(jù)型要強制轉(zhuǎn)換成數(shù)字 Clng，對于字符型，要通過函數(shù)過濾。 缺點：有些地方不能應(yīng)用，如 in 。 可根據(jù)你的數(shù)據(jù)類型來選擇。 中有一個參數(shù) UserName, 使用 Prarmeter 對象，通過它把參數(shù)添加到 Command對象上，這樣就獲得參數(shù)化查詢。 由于沒有對 UserName 和 PassWord 進行任何驗證，如果 UserName=” admin’ OR 1=1“ 所執(zhí)行的 SQL 語句就成了： SELECT * FROM PE_USERS WHERE UserName=’admin’ OR 1=1 — ‘ AND UserPassword=’’ 這就造成了 SQL 注入，條件永遠為真，也就不用密碼也能登陸成功。 + UserName + 39。通過遞交參數(shù)構(gòu)造巧妙的 SQL 語句，從而成功獲取想要的數(shù)據(jù)。) /a a=39。 Cookies ([name].Values[name])。 除上述輸出外，還有一些特殊的輸出形式，應(yīng)盡量避免使用，或者處理編碼后再使用。 缺點：檢查難度大。目前系統(tǒng)中還存在一些地方存在這樣的問題。// script 注意，這就成了 a=“ \”。alert(/xss/)。 要確保輸出內(nèi)容 中不包含特殊符號： “ “ “ 輸出前要轉(zhuǎn)換特殊符號的編碼形式，將 “ “ “ 轉(zhuǎn)為 同樣的輸出有 title= 的輸出等。 缺點：應(yīng)用范圍少。函數(shù)主要用在那些不支持 Html 的輸出。 防御手段二： HTML 編碼 保護級別： ★★★★★ 描述 : 對于不支持 HTML 的輸出，在輸出到頁面前要進行 編碼，部分服務(wù)器控件或者 XSLT 轉(zhuǎn)換本身就支持 編碼，可不必進行重復(fù)編碼。 缺點 :有可能出錯，函數(shù)設(shè)計難度大。 輸出的種類有： 1）支持 HTML 代碼的輸出 2）不支技 HTML 代碼的輸出 3） URL 的輸出 4）頁面內(nèi)容的輸出（ Keywords、 Description 等） 5） js 腳本的輸出 6） style 樣式的輸出 7） xml 數(shù)據(jù)的輸出 8）服務(wù)控件的輸出 2. 輸出編碼的必要性 輸出編碼能有效地防止 HTML 注入（跨站腳本 XSS 攻擊）等，也能確保輸出內(nèi)容的完整性和正確性。 防御手段四： 數(shù)據(jù)庫約束驗證 保護級別 :★★★ 描述： 數(shù)據(jù)庫約束是為了保證數(shù)據(jù)的完整性而實現(xiàn)的一套機制 ,通過設(shè)計數(shù)據(jù)庫約束 ,可以限制某些重要字段的數(shù)據(jù)輸入 ,如 : 非空約束 ,數(shù)據(jù)類型約束等。經(jīng)過這雙重保護，確保進入數(shù)據(jù)庫的數(shù)據(jù)正確性。如數(shù)據(jù)層中的強制轉(zhuǎn)換就是一個很好的例子，程序運行到數(shù)據(jù)層，如果沒有對數(shù)據(jù)進行強制轉(zhuǎn)換，程序的出錯將暴出系統(tǒng)錯誤信息或系統(tǒng)的其他機密信息，更重要的是沒有了友好的錯誤提示。 應(yīng)用舉例： 動易 SiteFactory 系統(tǒng)中，有多處使用過濾方法，這些過濾函數(shù)一般是放在命名空間 下的 DataSecurity 類和StringHelper 類。 輔助防御方式 除了使用上述技術(shù)驗證輸入外 ,還可以使用以下防御方式確保輸入的正確性。 缺點：應(yīng)用范圍較小，通常應(yīng)用于內(nèi)容確定的地方。它 與黑名單完全相反。又如：系統(tǒng)的過濾函數(shù) RemoveXSS 也是黑名單的一種利用。 優(yōu)點：應(yīng)用簡單，快捷。這些驗證函數(shù)通常應(yīng)用在緊接著的客戶端驗證， 或處理重要數(shù) 據(jù)時的驗證。如輸入：! （ html 注釋代碼）等。 應(yīng)用舉例： 動易 SiteFactory 系統(tǒng)中 ,除了使用 VS自帶的驗證控件外 ,還擴展了和增 加了部份驗證控件 ,在 命名空間下，可以看到擴展的 RequiredFieldValidator 控件，郵箱驗證控件 EmailValidator 等。 驗證控件必須做到在客戶端和服務(wù)端同時驗證，客戶端的驗證可以減輕對服務(wù)端請求的次數(shù)和用戶操作的方便性。如 EMAIL 驗證、用戶名驗證等。應(yīng)用程 序會處理這些數(shù)據(jù)，根據(jù)它們得出結(jié)果，并最終存儲到 后臺數(shù)據(jù)存儲中。B/S 開發(fā) 安全開發(fā)手冊 目錄 一、 輸入驗證 3 1. 什么是輸入 3 2. 輸入驗證的必要性 3 3. 輸入驗證技術(shù) 3 主要防御方式 3 輔助防御方式 5 二、 輸出編碼 8 1. 輸出的種類 8 2. 輸出編碼的必要性 8 3. 輸出編碼 8 4. 常用測試輸出方法 11 三、 防止 SQL注入 12 1. 什么是 SQL注入 12 2. SQL注入的種類 12 3. 如何防止 SQL注入 12 SQL 注入產(chǎn)生的原因 12 12 輔助防御方式 15 四、 跨站腳本攻擊 17 1. 什么是跨站腳本攻擊 17 2. 跨站腳本攻擊的危害 17 3. 如何防止跨站腳本攻擊 17 主要防御方式 17 輔助防御方式 18 4． XSS漏洞另一個攻擊趨勢 19 五、 跨站請求偽造 21 1. 什么是跨站請求偽造 21 2. 跨站請求偽造的危害 21 3. 如何防止跨站請求偽造 21 21 3． 2 輔助防御方式 23 六、 越權(quán)操作 24 1. 什么是越權(quán)操作 24 2. 越權(quán)操作的危害 24 3. 如何防止越權(quán)操作 24 七、 IO操作安全 25 八、 緩存泄漏 26 26 26 九、 系統(tǒng)加密 27 1. 主要防御方式 27 十、 信息泄露 29 十一、 日志和監(jiān)測 31 十二、 的安全配置 32 32 節(jié)點 32 節(jié)點 32 節(jié)點 33 十三、 綜合實例講解 34 參考資料 40 一、 輸入驗證 1. 什么是輸入 輸入是編譯時以外的全部數(shù)據(jù)交換。 [1] 2. 輸入驗證的必要性 為什么輸入驗證如此重要？第一個原因非常明顯：用戶都不希望使用虛假的數(shù)據(jù)。）[1] 一切從外部獲取的數(shù)據(jù)都可能是惡意的 ,如果缺少對數(shù)據(jù)的驗證，將會帶來很多安全問題。 3. 輸入驗證技術(shù) 主要防御方式 防御手段 一： 驗證控件驗證 保護級別 :★★★★☆ 描述： 對于表現(xiàn)層 , 可以利用驗證控件，對用戶輸入的數(shù)據(jù)進行類型、大小、范圍的驗證。 缺點： 驗證不完整，有些驗證用戶可以繞過。對于 HTML 代碼輸入的地方，輸入時一定要進行 HTML 格式化處理，否則有可能會引起全局顯示錯誤。如： IsNumber（數(shù)字）、 IsIP（ IP 驗證）、 IsEmail（郵箱格式驗證）等。但在一些地方也是能起到作用的。函數(shù)： PELabelEncode(string value)， PELabelDecode(string value)。白名單可能是允許的字符集合，合法文件名稱列表，或者只是可以接受的數(shù)據(jù)類型列 表。 優(yōu)點：可靠性高，擴展性強。 白名單一般應(yīng)用在那些比較確定的輸入類型。 缺點：函數(shù)設(shè)計考濾煩多，容易忘記需要過濾的內(nèi)容。 防御手段二： 強制轉(zhuǎn)換技術(shù) 保護級別 :★★★★ 描述： 除了過濾外，有時也需要強制轉(zhuǎn)換，以確保數(shù)據(jù)正確和程序的正確運行。 應(yīng)用舉例： 動易 SiteFactory 系統(tǒng)中，強制轉(zhuǎn)換函數(shù)一般放在命名空間 下的 DataConverter 類里，如： CDate(object input)、 CLng(object input)等，還有一些強制轉(zhuǎn)換防出錯的函數(shù)，在命名空間 中的 DBHelper 類，如： ToNumber 函數(shù)、 ToValidId 函數(shù)、 CLng 函數(shù)等。 缺點：只針對特定輸出。 二、 輸出編碼 1. 輸出的種類 輸出編碼是轉(zhuǎn)換輸入數(shù)據(jù)為輸出格式的過程序，輸出格式不包含，或者只是有選擇性的包含允許的特殊字符。 優(yōu)點：支持 HTML，有交防止主流 XSS 攻擊。所以在支持 HTML 代碼的輸出，一定要通過這個函 數(shù)進行過濾（也可以輸入到數(shù)據(jù)庫前過濾）。 應(yīng)用舉例： 動易 SiteFactory 系統(tǒng)中，命名空間 中的 DataSecurity 類中有自 定義的編碼函 數(shù)： HtmlDecode 和 HtmlDecode，這些函數(shù)更容易地控制編碼的輸出。 優(yōu)點：可靠性高。 如：頁面 meta content=輸出內(nèi)容 name=Keywords / 的輸出。 又例如下面例子，變量 a 和 b 是由用戶輸入 ,如果用戶輸入 a=“ \” ，b=“。alert(/xxs/)。 對于 xml 數(shù)據(jù)的輸出，要確保數(shù)據(jù)中是否有 XML 不允許的字符，要對特殊字符進行轉(zhuǎn)換才能輸出。 優(yōu)點：防止因殊符號而出現(xiàn)錯誤，或跨站。 防御手段五： 其他要注意的地方 保護級別： ★★★★ 描述： 對于服務(wù)器控件的輸出，要注意輸出的環(huán)境，對于不同的輸出環(huán)境進行不同的處理，如 url 編碼， html 編碼等。 QueryString ([name])。xss39。 三、 防止 SQL注入 1. 什么是