web應(yīng)用與開(kāi)發(fā)安全(編輯修改稿)
2025-02-07 13:50 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 具的開(kāi)發(fā)者并不是很多。雖然學(xué)寫安全的代碼是一個(gè)復(fù)雜的過(guò)程，最好在大學(xué)、內(nèi)部培訓(xùn)會(huì)、行業(yè)會(huì)議上完成，但只要掌握了下面五種常見(jiàn)的 應(yīng)用安全缺陷以及推薦的修正方案，就能夠領(lǐng)先一步，將不可或缺的安全因素融入到應(yīng)用的出生之時(shí)。 ? 一、不能盲目相信用戶輸入 在 Web應(yīng)用開(kāi)發(fā)中，開(kāi)發(fā)者最大的失誤往往是無(wú)條件地信任用戶輸入，假定用戶（即使是惡意用戶）總是受到瀏覽器的限制，總是通過(guò)瀏覽器和服務(wù)器交互，從而打開(kāi)了攻擊 Web應(yīng)用的大門。實(shí)際上，黑客們攻擊和操作 Web網(wǎng)站的工具很多，根本不必局限于瀏覽器，從最低級(jí)的字符模式的原始界面（例如 tel），到 CGI腳本掃描器、 Web代理、 Web應(yīng)用掃描器，惡意用戶可能采用的攻擊模式和手段很多。 處理辦法：用客戶 /服務(wù)端基本數(shù)據(jù)驗(yàn)證： ⑴ 始終對(duì)所有的用戶輸入執(zhí)行驗(yàn)證，且驗(yàn)證必須在一個(gè)可靠的平臺(tái)上進(jìn)行，應(yīng)當(dāng)在應(yīng)用的多個(gè)層上進(jìn)行。 ⑵ 除了輸入、輸出功能必需的數(shù)據(jù)之外，不要允許其他任何內(nèi)容。 ⑶ 設(shè)立 “ 信任代碼基地 ” ，允許數(shù)據(jù)進(jìn)入信任環(huán)境之前執(zhí)行徹底的驗(yàn)證。 ⑷ 登錄數(shù)據(jù)之前先檢查數(shù)據(jù)類型。 ⑸ 詳盡地定義每一種數(shù)據(jù)格式，例如緩沖區(qū)長(zhǎng)度、整數(shù)類型等。 ⑹ 嚴(yán)格定義合法的用戶請(qǐng)求，拒絕所有其他請(qǐng)求。 ⑺ 測(cè)試數(shù)據(jù)是否滿足合法的條件，而不是測(cè)試不合法的條件。這是因?yàn)閿?shù)據(jù)不合法的情況很多，難以詳盡列舉。 web應(yīng)用程序開(kāi)發(fā)安全措施 (ASP） ?
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1