網(wǎng)站安全體系架構(gòu)概述-免費閱讀
【正文】 基于網(wǎng)絡(luò)層的數(shù)據(jù)包檢查? 問題179。 不適用于 HTTPS模式防注入攻擊 SELECT * FROM userWHERE name=‘hack’ or ‘1’=‘1’SELECT * FROM userWHERE name=‘zhangsan’XOWeb服 務(wù) 器 軟 件應(yīng) 用防 護 模 塊輸入用戶名：zhangsan輸入用戶名：hack’ or ‘1’ = ‘1’or ‘防跨站攻擊示例 55請輸入轉(zhuǎn)賬金額：轉(zhuǎn)賬成功！銀行破產(chǎn)！Xxx’s blog: 破 產(chǎn)請 點 擊 官方 鏈 接10000 確定???X應(yīng)用防火墻實現(xiàn)方式比較項目 軟件實現(xiàn)方式 硬件實現(xiàn)方式部署點 Web服務(wù)器 網(wǎng)關(guān)網(wǎng)絡(luò)配置 無須改變 須改變訪問性能 影響小，無瓶頸效應(yīng) 影響大，有瓶頸效應(yīng)單點失效 不可能 可能升級 方便 可以細粒度配置 方便 可以成本 一般 較高56 關(guān)鍵腳本的安全性設(shè)計? 對于處理用戶輸入數(shù)據(jù)的網(wǎng)站腳本文件，考慮安全性設(shè)計179。 無法做到實時恢復(fù)其它網(wǎng)頁篡改防護的技術(shù)路線? 文件保護（事件觸發(fā)）179。 讀取網(wǎng)頁文件后，做完整性校驗174。 通過 Hook函數(shù)修改 web服務(wù)器（ IIS），擴展完整性校驗功能174。 Web服務(wù)器收聽請求179。 保護網(wǎng)頁和腳本的完整性179。 黑盒測試（滲透和黑客工具）179。 服務(wù)器端檢查? 最小權(quán)限原則? 使用存儲過程? 使用 parameters對象? 控制錯誤信息回顯 38防范跨站攻擊? 檢查用戶輸入179。 配置網(wǎng)絡(luò)和主機179。 badou是任意一臺（未打補丁的） Windows 2023主機的 IIS服務(wù)器? 返回結(jié)果179。/39。 注入式攻擊179?！ 。?、業(yè)務(wù)邏輯層（ BLL）：針對具體問題的操作，也可以說是對數(shù)據(jù)層的操作，對數(shù)據(jù)業(yè)務(wù)邏輯處理。 網(wǎng)頁篡改179。 注入式攻擊179?！ 。?、數(shù)據(jù)訪問層（ DAL）：該層所做事務(wù)直接操作數(shù)據(jù)庫，針對數(shù)據(jù)的增、刪、改、查。 多個應(yīng)用系統(tǒng)不同的開發(fā)者，組織的缺陷 10Web攻擊事件 篡改網(wǎng)頁 11Web攻擊事件 篡改數(shù)據(jù)12Web攻擊事件 跨站攻擊13Web攻擊事件 注入式攻擊14Web攻擊事件 非法上傳15常見 Web攻擊類型威脅 手段 后果注入式攻擊 通過構(gòu)造 SQL語句對數(shù)據(jù)庫進行非法查詢黑客可以訪問后端數(shù)據(jù)庫，偷竊和修改數(shù)據(jù)跨站腳本攻擊 通過受害網(wǎng)站在客戶端顯不正當(dāng)?shù)膬?nèi)容和執(zhí)行非法命令黑客可以對受害者客戶端進行控制，盜竊用戶信息上傳假冒文件 繞過管理員的限制上傳任意類型的文件黑客可以篡改網(wǎng)頁、圖片和下載文件等不安全本地存儲 偷竊 cookie和 session token信息 黑客獲取用戶關(guān)鍵資料，冒充用戶身份非法執(zhí)行腳本 執(zhí)行系統(tǒng)默認的腳本或自行上傳的WebShell腳本等黑客完全控制服務(wù)器非法執(zhí)行系統(tǒng)命令 利用 Web服務(wù)器漏洞上執(zhí)行 Shell命令 Execute等黑客獲得服務(wù)器信息源代碼泄漏 利用 Web服務(wù)器漏洞或應(yīng)用漏洞獲得腳本源代碼黑客分析
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1