03網(wǎng)絡應用安全檢測和防護(編輯修改稿)
2025-01-22 07:18 本頁面
【文章內(nèi)容簡介】 行一些判斷。 ? [8]確認 PHP配置文件中的 Magic_quotes_gpc選項保持開啟。 ? [9]在部署你的應用前，始終要做安全審評 (security review)。建立一個正式的安全過程 (formal security process)，在每次你做更新時，對所有的編碼做審評。后面一點特別重要。不論是發(fā)布部署應用還是更新應用，請始終堅持做安全審評。 ? [10]千萬別把敏感性數(shù)據(jù)在數(shù)據(jù)庫里以明文存放。 ? [11]使用第三方 WEB防火墻來加固整個網(wǎng)站系統(tǒng)。 2023/1/22 局數(shù)據(jù)管理中心安全管理處 22 鏈接注入 ? 鏈接注入是將某個 URL嵌入到被攻擊的網(wǎng)站上，進而修改站點頁面。被嵌入的 URL包含惡意代碼，可能竊取正常用戶的用戶名、密碼，也可能竊取或操縱認證會話，以合法用戶的身份執(zhí)行相關操作。 ? 主要危害： ? [1]獲取其他用戶 Cookie中的敏感數(shù)據(jù)。 ? [2]屏蔽頁面特定信息。 ? [3]偽造頁面信息。 ? [4]拒絕服務攻擊。 ? [5]突破外網(wǎng)內(nèi)網(wǎng)不同安全設置。 2023/1/22 局數(shù)據(jù)管理中心安全管理處 23 解決方案 ? 過濾客戶端提交的危險字符，客戶端提交方式包含 GET、 POST、 COOKIE、UserAgent、 Referer、 AcceptLanguage等，其中危險字符如下： |、 、 。、 $ 、 %、 、 ‘、 “、 、 ()、 +、 CR、 LF、 ,、 .、 script、 document、 eval 2023/1/22 局數(shù)據(jù)管理中心安全管理處 24 跨站腳本 ? 跨站點腳本（ XSS）是針對其他用戶的重量級攻擊。 ? 如果一個應用程序使用動態(tài)頁面向用戶顯示錯誤消息，就會造成一種常見的 XSS漏洞。 ? 三部曲： ? 。 ? 。 ? 。 2023/1/22 局數(shù)據(jù)管理中心安全管理處 25 2023/1/22 局數(shù)據(jù)管理中心安全管理處 26 跨站腳本 舉個例子說明原理： 如攻擊者可在目標服務器的留言本中加入如下代碼： 則存在跨站腳本漏洞的網(wǎng)站就會執(zhí)行攻擊者的function()。 跨站腳本 ? [1]獲取其他用戶 Cookie中的敏感數(shù)據(jù)。 ? [2]屏蔽頁面特定信息。 ? [3]偽造頁面信息。 ? [4]拒絕服務攻擊。 ? [5]突破外網(wǎng)內(nèi)網(wǎng)不同安全設置。 ? [6]與其它漏洞結(jié)合，修改系統(tǒng)設置，查看系統(tǒng)文件，執(zhí)行系統(tǒng)命令等。 2023/1/22 局數(shù)據(jù)管理中心安全管理處 27 “微博病毒”攻擊事件 ? 2023年 6月 28日晚，新浪微博出現(xiàn)了一次比較大的 XSS攻擊事件。大量用戶自動發(fā)送諸如：“郭美美事件的一些未注意到的細節(jié)”，“建黨大業(yè)中穿幫的地方”等等微博和私信，并自動關注一位名為 hellosamy的用戶。 2023/1/22 局數(shù)據(jù)管理中心安全管理處 28 解決方案 開發(fā)語言的建議 _嚴格控制輸入： ? Asp： request ? Aspx： 、 FormCookies、SeverVaiables等 ? Php： $_GET、 $_POST、 $_COOKIE、 $_SERVER、$_GlOBAL、 $_REQUEST等 ? Jsp： 、 等 ? 嚴格限制提交的數(shù)據(jù)長度、類型、字符集。 2023/1/22 局數(shù)據(jù)管理中心安全管理處 29 解決方案 ? 開發(fā)語言的建議 _嚴格控制輸出： ? HtmlEncode：對一段指定的字符串應用 HTML編碼。 ? UrlEncode：對一段指定的字符串 URL編碼。 ? XmlEncode：將在 XML中使用的輸入字符串編碼。 ? XmlAttributeEncode：將在 XML屬性中使用的輸入字符串編碼 ? escape：函數(shù)可對字符串進行編碼 ? decod
教學課件相關推薦
鄂ICP備17016276號-1