設(shè)計(jì)安全的網(wǎng)站系統(tǒng)-文庫(kù)吧在線文庫(kù)
【正文】 Dim Cookie As HttpCookie = FindCookie(, ) If Not Cookie Is Nothing Then If = 24 Then Throw New Exception(拒絕存取 ) End If Dim id As String = (0, 24) Dim mac1 As String = (24) Dim mac2 As String = GenerateMac(id, , ) If (mac1, mac2) 0 Then Throw New Exception(拒絕存取 ) End If = id End If End Sub 處理 EndRequest事件 (六 ) Private Sub OnEndRequest(ByVal sender As Object, ByVal e As _ EventArgs) Dim request As HttpRequest = CType(sender, _ HttpApplication).Request Dim cookie As HttpCookie = FindCookie(CType(sender, _ HttpApplication)., ) If Not cookie Is Nothing Then = GenerateMac(, _ , ) End If End Sub 網(wǎng)頁(yè)基本防護(hù)法 使用者輸入的資料必須驗(yàn)証後再使用 使用權(quán)限較低的帳號(hào)登入資料庫(kù)並進(jìn)行操作 , 並依據(jù)使用者的角色區(qū)分權(quán)限 , 所有的資料庫(kù)操作都經(jīng)由 Stored Procedure或 Parameterized Query進(jìn)行操作 機(jī)密資料必須加密後才經(jīng)由網(wǎng)路傳送 , 或是乾脆存放在伺服器上 , 並做好保護(hù) 儲(chǔ)存在資料庫(kù)中的密碼要做好加密 驗(yàn)証使用者的身份 , 強(qiáng)制要求使用 Strong Password 將 /密碼資料存到 Windows的登錄資訊中 關(guān)閉網(wǎng)站的 Trace和 Debug功能 避免使用 Cookieless Session 驗(yàn)証使用者輸入的資料 ValidateRequest屬性 ?預(yù)設(shè)值為 True ?當(dāng)網(wǎng)站需要讓使用者輸入 javascript語(yǔ)法時(shí) (例如討論群或搜尋網(wǎng)頁(yè) )必須設(shè)定為 False HttpUtility類別的 UrlEncode/HtmlEncode方法將使用者輸入的資料編碼 善用 Regular Expression驗(yàn)証使用者是否輸入合法的資料 安全的資料庫(kù)操作方法 使用 Stored Procedure或 Parameterized Query對(duì)資料庫(kù)進(jìn)行操作 Dim strConn As String = … Dim strSQL As String = Member_Insert Dim conn As SqlConnection = New SqlConnection(strConn) Dim cmd As SqlCommand = New SqlCommand(strSQL, conn) = Dim p1 As SqlParameter = New SqlParameter(UserName, _ , 16) = = (p1) () Dim num As Integer = () (num 筆記錄新增成功 !) () () () 對(duì)機(jī)密資料加密 對(duì)稱式加密法 ?效能良好 非對(duì)稱式加密法 ?安全性佳 雜湊加密法 ?不可還原 (OneWay) 鍵盤 輸入密碼 (ABCD) 密碼 :ABCD DB 看的懂 未對(duì)存放到資料庫(kù)中的密碼執(zhí)行加密 銀行櫃員 申請(qǐng)帳戶加密碼的客戶 不安全的做法 鍵盤 輸入密碼 (ABCD) 密碼 :7ABF DB 看不懂 對(duì)存放到資料庫(kù)中的密碼執(zhí)行加密 銀行櫃員 申請(qǐng)帳戶加密碼的客戶 安全的做法 使用 Regular Expression驗(yàn)証 Strong Password Imports If (, _ ^(?=.*\d)(?=.*[az])(?=.*[AZ]) _ ―(?=.*[\\+\?\*\$\[\]\^\.\(\)\|`~!%_ ={}:。u %2B= (0x0065)。u %2B= (0x0072)。u %2B= (0x002F)。 div style=width: expression([code])。 alert()。39。=39。 Or 1=1 ] ?未將使用者輸入的單引號(hào)置換成雙引號(hào) , 上述的 SQL敘述執(zhí)行的結(jié)果為 Members資料表的 總筆數(shù) ?將使用者輸入的單引號(hào)置換成雙引號(hào) , 上述的 SQL敘述執(zhí)行的結(jié)果為 0 防堵 SQL Injection攻擊的基本原則 (二 ) 限制應(yīng)用程式或網(wǎng)頁(yè)只能擁有執(zhí)行 Stored Procedure的權(quán)限 , 不能直接存取資料庫(kù)中的 Table和 View 使用 [Windows整合安全模式 ]登入資料庫(kù) , 避免使用系統(tǒng)管理員身份登入資料庫(kù) 設(shè)定 TextBox欄位的 MaxLen
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1