03網(wǎng)絡(luò)應(yīng)用安全檢測(cè)和防護(hù)(編輯修改稿)
2025-01-22 07:18 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 行一些判斷。 ? [8]確認(rèn) PHP配置文件中的 Magic_quotes_gpc選項(xiàng)保持開(kāi)啟。 ? [9]在部署你的應(yīng)用前，始終要做安全審評(píng) (security review)。建立一個(gè)正式的安全過(guò)程 (formal security process)，在每次你做更新時(shí)，對(duì)所有的編碼做審評(píng)。后面一點(diǎn)特別重要。不論是發(fā)布部署應(yīng)用還是更新應(yīng)用，請(qǐng)始終堅(jiān)持做安全審評(píng)。 ? [10]千萬(wàn)別把敏感性數(shù)據(jù)在數(shù)據(jù)庫(kù)里以明文存放。 ? [11]使用第三方 WEB防火墻來(lái)加固整個(gè)網(wǎng)站系統(tǒng)。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 22 鏈接注入 ? 鏈接注入是將某個(gè) URL嵌入到被攻擊的網(wǎng)站上，進(jìn)而修改站點(diǎn)頁(yè)面。被嵌入的 URL包含惡意代碼，可能竊取正常用戶的用戶名、密碼，也可能竊取或操縱認(rèn)證會(huì)話，以合法用戶的身份執(zhí)行相關(guān)操作。 ? 主要危害： ? [1]獲取其他用戶 Cookie中的敏感數(shù)據(jù)。 ? [2]屏蔽頁(yè)面特定信息。 ? [3]偽造頁(yè)面信息。 ? [4]拒絕服務(wù)攻擊。 ? [5]突破外網(wǎng)內(nèi)網(wǎng)不同安全設(shè)置。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 23 解決方案 ? 過(guò)濾客戶端提交的危險(xiǎn)字符，客戶端提交方式包含 GET、 POST、 COOKIE、UserAgent、 Referer、 AcceptLanguage等，其中危險(xiǎn)字符如下： |、 、 。、 $ 、 %、 、 ‘、 “、 、 ()、 +、 CR、 LF、 ,、 .、 script、 document、 eval 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 24 跨站腳本 ? 跨站點(diǎn)腳本（ XSS）是針對(duì)其他用戶的重量級(jí)攻擊。 ? 如果一個(gè)應(yīng)用程序使用動(dòng)態(tài)頁(yè)面向用戶顯示錯(cuò)誤消息，就會(huì)造成一種常見(jiàn)的 XSS漏洞。 ? 三部曲： ? 。 ? 。 ? 。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 25 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 26 跨站腳本 舉個(gè)例子說(shuō)明原理： 如攻擊者可在目標(biāo)服務(wù)器的留言本中加入如下代碼： 則存在跨站腳本漏洞的網(wǎng)站就會(huì)執(zhí)行攻擊者的function()。 跨站腳本 ? [1]獲取其他用戶 Cookie中的敏感數(shù)據(jù)。 ? [2]屏蔽頁(yè)面特定信息。 ? [3]偽造頁(yè)面信息。 ? [4]拒絕服務(wù)攻擊。 ? [5]突破外網(wǎng)內(nèi)網(wǎng)不同安全設(shè)置。 ? [6]與其它漏洞結(jié)合，修改系統(tǒng)設(shè)置，查看系統(tǒng)文件，執(zhí)行系統(tǒng)命令等。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 27 “微博病毒”攻擊事件 ? 2023年 6月 28日晚，新浪微博出現(xiàn)了一次比較大的 XSS攻擊事件。大量用戶自動(dòng)發(fā)送諸如：“郭美美事件的一些未注意到的細(xì)節(jié)”，“建黨大業(yè)中穿幫的地方”等等微博和私信，并自動(dòng)關(guān)注一位名為 hellosamy的用戶。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 28 解決方案 開(kāi)發(fā)語(yǔ)言的建議 _嚴(yán)格控制輸入： ? Asp： request ? Aspx： 、 FormCookies、SeverVaiables等 ? Php： $_GET、 $_POST、 $_COOKIE、 $_SERVER、$_GlOBAL、 $_REQUEST等 ? Jsp： 、 等 ? 嚴(yán)格限制提交的數(shù)據(jù)長(zhǎng)度、類型、字符集。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 29 解決方案 ? 開(kāi)發(fā)語(yǔ)言的建議 _嚴(yán)格控制輸出： ? HtmlEncode：對(duì)一段指定的字符串應(yīng)用 HTML編碼。 ? UrlEncode：對(duì)一段指定的字符串 URL編碼。 ? XmlEncode：將在 XML中使用的輸入字符串編碼。 ? XmlAttributeEncode：將在 XML屬性中使用的輸入字符串編碼 ? escape：函數(shù)可對(duì)字符串進(jìn)行編碼 ? decod
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1