03網(wǎng)絡(luò)應(yīng)用安全檢測(cè)和防護(hù)(完整版)
【正文】 MS07004 VML Remote Code Execution ? MS06073 ? MS06071 XML Core Services Remote Code Execution ? MS06068 ? MS06067 ? MS06057 WebViewFolderIcod ActiveX ? MS06055 ? MS06014 MDAC Remote Code Execution ? MS06013 ? MS06005 ? MS06004 ? MS06001 常見網(wǎng)站攻擊動(dòng)機(jī) 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 9 目錄 網(wǎng)站安全形勢(shì) 統(tǒng)計(jì)系統(tǒng)網(wǎng)站情況 網(wǎng)站安全檢測(cè) 網(wǎng)站安全防護(hù) 安全檢查工作 統(tǒng)計(jì)系統(tǒng)網(wǎng)站情況 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 10 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 11 目錄 網(wǎng)站安全形勢(shì) 統(tǒng)計(jì)系統(tǒng)網(wǎng)站情況 網(wǎng)站安全檢測(cè) 網(wǎng)站安全防護(hù) 安全檢查工作 國(guó)家局網(wǎng)站安全檢查機(jī)制 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 12 ? 聯(lián)網(wǎng)直報(bào)系統(tǒng) ? 國(guó)家局門戶網(wǎng)站 ? 司級(jí)網(wǎng)站 ? 省級(jí)、地市級(jí)統(tǒng)計(jì)局門戶網(wǎng)站 ? …… 網(wǎng)站列表 ? 每月 ? 每季度 ? 每半年 ? …… 檢查周期 ? 非報(bào)送期 ? 非工作時(shí)間 漏洞檢查 ? 跨站腳本 ? SQL注入 ? …… 漏洞確認(rèn) ? 《 安全事件通知書 》 ? 《 安全風(fēng)險(xiǎn)提示單 》 安全風(fēng)險(xiǎn)提示單 ? 整改結(jié)束之后進(jìn)行復(fù)測(cè) 復(fù)測(cè) 國(guó)家局檢查機(jī)制（上線前檢查） 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 13 ? 以風(fēng)險(xiǎn)為導(dǎo)向 WEB遍歷 ?模擬黑客進(jìn)行無(wú)害的攻擊滲透 ? 通 過(guò) 各 類測(cè) 試 用 例對(duì) 網(wǎng) 站 進(jìn)行測(cè)試 ? 通過(guò)各類已知和未知木馬進(jìn)行檢測(cè) 深度 掃描 滲透 測(cè)試 黑盒 檢測(cè) 木馬 檢測(cè) 網(wǎng)站漏洞掃描幾種主要方法 掃描結(jié)果事例 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 15 統(tǒng)計(jì)系統(tǒng)網(wǎng)站漏洞分布情況 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 16 OWASP(開放式 Web應(yīng)用程序安全項(xiàng)目 )對(duì)注入漏洞的定義 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 17 注入漏洞 Sql注入 ? SQl注入（ SQL Injection）技術(shù)在國(guó)外最早出現(xiàn)在 1999年，我國(guó)在 2023年后開始大量出現(xiàn)。 網(wǎng)站安全形勢(shì) 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 5 （ 二 ） 從被 攻擊 網(wǎng)站的行政層看 中央部委和直屬單位 、 省級(jí)政府部門網(wǎng)站有 69個(gè) ， 約占總數(shù)的 %；地市級(jí)政府部門網(wǎng)站有 72個(gè) ， 約占總數(shù)的 %；區(qū)縣級(jí)政府部門網(wǎng)站和企事業(yè)單位網(wǎng)站共有 287個(gè) ， 約占總數(shù)的 67%。 Sql注入攻擊舉例 Sql注入 ? 主要危害： ? [1]未經(jīng)授權(quán)狀況下操作數(shù)據(jù)庫(kù)中的數(shù)據(jù)。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 21 解決方案 ? [7]避免網(wǎng)站顯示 SQL錯(cuò)誤信息，比如類型錯(cuò)誤、字段不匹配等，防止攻擊者利用這些錯(cuò)誤信息進(jìn)行一些判斷。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 22 鏈接注入 ? 鏈接注入是將某個(gè) URL嵌入到被攻擊的網(wǎng)站上，進(jìn)而修改站點(diǎn)頁(yè)面。、 $ 、 %、 、 ‘、 “、 、 ()、 +、 CR、 LF、 ,、 .、 script、 document、 eval 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 24 跨站腳本 ? 跨站點(diǎn)腳本（ XSS）是針對(duì)其他用戶的重量級(jí)攻擊。 ? [3]偽造頁(yè)面信息。 ? UrlEncode：對(duì)一段指定的字符串 UR
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1