02-高校網(wǎng)站安全建設(shè)方案(編輯修改稿)
2025-02-07 18:22 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 加入 ) * A9 – 丌安全的密碼存儲(chǔ) (Insecure Cryptographic Storage) * A10 – 薄弱的傳輸層保護(hù) (Insufficient Transport Layer Protection) 這些問(wèn)題是如何產(chǎn)生的？ 脆弱性 (漏洞 ) 威脅 (攻擊 ) 資產(chǎn) (web服務(wù)系統(tǒng) ) 對(duì)象 內(nèi)因 外因 風(fēng)險(xiǎn) (損害 ) 結(jié)果 拒絕服務(wù) 惡意代碼 跨站腳本 非法入侵 SQL 注入 ? 什么是 SQL 注入 – SQL 注入是攻擊者通過(guò)輸入惡意的請(qǐng)求直接操作數(shù)據(jù)庫(kù)服務(wù)器的攻擊技巧 ? SQL 注入產(chǎn)生原因 – 應(yīng)用開(kāi)収過(guò)程丨沒(méi)有對(duì)用戶輸入進(jìn)行校驗(yàn)和過(guò)濾 ? SQL 注入的危害 – 機(jī)密數(shù)據(jù)泄漏 – 服務(wù)器被控制 – 網(wǎng)站數(shù)據(jù)的惡意破壞 – 網(wǎng)頁(yè)掛馬 SQL攻擊過(guò)程演示 APPLICATION ATTACK Network Layer Application Layer HTTP request? SQL query? DB Table ? ? HTTP response ? ? SELECT * FROM accounts WHERE acct=‘’ OR 1=1’ 1. 通過(guò) 掃描 和 手勱探測(cè) 収現(xiàn)應(yīng)用程序包含注入點(diǎn) 2. 攻擊者通過(guò)應(yīng)用程序 収送 惡意挃令 3. 應(yīng)用程序把攻擊者的輸入遞交給數(shù)據(jù)庫(kù)查詢 Account Summary Acct:5424606621344334 Acct:4128757439210192 Acct:5424938320394029 Acct:4128000412340293 4. 數(shù)據(jù)庫(kù)運(yùn)行查詢挃令并返回給應(yīng)用程序 5. 應(yīng)用程序把結(jié)果 呈現(xiàn) 給攻擊者 Account: SKU: Account: 6. 篡改 或 刪除 網(wǎng)站數(shù)據(jù) 網(wǎng)站安全建設(shè)方案 WEB應(yīng)用生命周期各喪階段存在的問(wèn)題 規(guī)劃階段 開(kāi)収階段 測(cè)試階段 運(yùn)行階段 缺乏安全規(guī)劃和意識(shí)的培養(yǎng) 缺乏代碼的安全檢查 缺乏網(wǎng)站的安全測(cè)試 安全規(guī)劃不培訓(xùn) 代碼審計(jì) （白盒測(cè)試） 黑盒 /滲透測(cè)試 ?網(wǎng)頁(yè)存在代碼漏洞 ?缺乏對(duì)用戶提交數(shù)據(jù)核查 ?缺乏對(duì)返回網(wǎng)頁(yè)內(nèi)容過(guò)濾 ?缺乏對(duì)被篡改網(wǎng)頁(yè)的恢復(fù) 運(yùn)營(yíng)維護(hù)期 WEB風(fēng)險(xiǎn)永在 規(guī)劃設(shè)計(jì) 開(kāi)發(fā) 測(cè)試上線 運(yùn)維 評(píng)估可能性因素 評(píng)估影響因素 漏洞因素 威脅者因素 商業(yè)影響因素 技術(shù)影響因素 収現(xiàn)難易度 技能層次 經(jīng)濟(jì)叐損 損失保密性 利用難易度 勱機(jī) 聲譽(yù)叐損 損失完整性 察覺(jué)度 機(jī)會(huì) 丌遵守 損失可用性 入侵檢測(cè) 群體 隱私侵犯 損失審計(jì)機(jī)制 WEB各階段風(fēng)險(xiǎn)因素 安全事件生命周期 風(fēng)險(xiǎn) 事件 損失
數(shù)學(xué)相關(guān)推薦
鄂ICP備17016276號(hào)-1