網(wǎng)站安全體系架構(gòu)概述-免費(fèi)閱讀
【正文】 基于網(wǎng)絡(luò)層的數(shù)據(jù)包檢查? 問題179。 不適用于 HTTPS模式防注入攻擊 SELECT * FROM userWHERE name=‘hack’ or ‘1’=‘1’SELECT * FROM userWHERE name=‘zhangsan’XOWeb服 務(wù) 器 軟 件應(yīng) 用防 護(hù) 模 塊輸入用戶名：zhangsan輸入用戶名：hack’ or ‘1’ = ‘1’or ‘防跨站攻擊示例 55請(qǐng)輸入轉(zhuǎn)賬金額：轉(zhuǎn)賬成功！銀行破產(chǎn)！Xxx’s blog: 破 產(chǎn)請(qǐng) 點(diǎn) 擊 官方 鏈 接10000 確定???X應(yīng)用防火墻實(shí)現(xiàn)方式比較項(xiàng)目 軟件實(shí)現(xiàn)方式 硬件實(shí)現(xiàn)方式部署點(diǎn) Web服務(wù)器 網(wǎng)關(guān)網(wǎng)絡(luò)配置 無須改變 須改變?cè)L問性能 影響小，無瓶頸效應(yīng) 影響大，有瓶頸效應(yīng)單點(diǎn)失效 不可能 可能升級(jí) 方便 可以細(xì)粒度配置 方便 可以成本 一般 較高56 關(guān)鍵腳本的安全性設(shè)計(jì)? 對(duì)于處理用戶輸入數(shù)據(jù)的網(wǎng)站腳本文件，考慮安全性設(shè)計(jì)179。 無法做到實(shí)時(shí)恢復(fù)其它網(wǎng)頁(yè)篡改防護(hù)的技術(shù)路線? 文件保護(hù)（事件觸發(fā)）179。 讀取網(wǎng)頁(yè)文件后，做完整性校驗(yàn)174。 通過 Hook函數(shù)修改 web服務(wù)器（ IIS），擴(kuò)展完整性校驗(yàn)功能174。 Web服務(wù)器收聽請(qǐng)求179。 保護(hù)網(wǎng)頁(yè)和腳本的完整性179。 黑盒測(cè)試（滲透和黑客工具）179。 服務(wù)器端檢查? 最小權(quán)限原則? 使用存儲(chǔ)過程? 使用 parameters對(duì)象? 控制錯(cuò)誤信息回顯 38防范跨站攻擊? 檢查用戶輸入179。 配置網(wǎng)絡(luò)和主機(jī)179。 badou是任意一臺(tái)（未打補(bǔ)丁的） Windows 2023主機(jī)的 IIS服務(wù)器? 返回結(jié)果179。/39。 注入式攻擊179?！ 。?、業(yè)務(wù)邏輯層（ BLL）：針對(duì)具體問題的操作，也可以說是對(duì)數(shù)據(jù)層的操作，對(duì)數(shù)據(jù)業(yè)務(wù)邏輯處理。 網(wǎng)頁(yè)篡改179。 注入式攻擊179?！ 。?、數(shù)據(jù)訪問層（ DAL）：該層所做事務(wù)直接操作數(shù)據(jù)庫(kù)，針對(duì)數(shù)據(jù)的增、刪、改、查。 多個(gè)應(yīng)用系統(tǒng)不同的開發(fā)者，組織的缺陷 10Web攻擊事件 篡改網(wǎng)頁(yè) 11Web攻擊事件 篡改數(shù)據(jù)12Web攻擊事件 跨站攻擊13Web攻擊事件 注入式攻擊14Web攻擊事件 非法上傳15常見 Web攻擊類型威脅 手段 后果注入式攻擊 通過構(gòu)造 SQL語(yǔ)句對(duì)數(shù)據(jù)庫(kù)進(jìn)行非法查詢黑客可以訪問后端數(shù)據(jù)庫(kù)，偷竊和修改數(shù)據(jù)跨站腳本攻擊 通過受害網(wǎng)站在客戶端顯不正當(dāng)?shù)膬?nèi)容和執(zhí)行非法命令黑客可以對(duì)受害者客戶端進(jìn)行控制，盜竊用戶信息上傳假冒文件 繞過管理員的限制上傳任意類型的文件黑客可以篡改網(wǎng)頁(yè)、圖片和下載文件等不安全本地存儲(chǔ) 偷竊 cookie和 session token信息 黑客獲取用戶關(guān)鍵資料，冒充用戶身份非法執(zhí)行腳本 執(zhí)行系統(tǒng)默認(rèn)的腳本或自行上傳的WebShell腳本等黑客完全控制服務(wù)器非法執(zhí)行系統(tǒng)命令 利用 Web服務(wù)器漏洞上執(zhí)行 Shell命令 Execute等黑客獲得服務(wù)器信息源代碼泄漏 利用 Web服務(wù)器漏洞或應(yīng)用漏洞獲得腳本源代碼黑客分析
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1