程序代碼注入ppt課件-資料下載頁
2025-05-12 12:41本頁面
【正文】 ator。 ? Java的 xssprotect 。 ? 在一些關(guān)鍵功能，完全不能信任 cookie，必需要用戶輸入口令。如：修改口令，支付，修改電子郵件，查看用戶的敏感信息等等。 ? 限制 cookie的過期時間。 ? 對于 CRSF攻擊，一是需要檢查 的 reference header。二是不要使用 GET方法來改變數(shù)據(jù)，三是對于要提交的表單，后臺動態(tài)生成一個隨機(jī)的 token，這個 token是攻擊者很難偽造的。（對于 token的生成，建議找一些成熟的 lib庫） ? 另外，你可能覺得網(wǎng)站在處理用戶的表單提交就行了，其實不是， 想一想那些 Web Mail，我可以通過別的服務(wù)器向被攻擊用戶發(fā)送有 JS代碼、圖片、 Flash的郵件到你的郵箱，你打開一看，你就中招了 。所以， WebMail一般都禁止顯示圖片和附件，這些都很危險，只有你完全了解來源的情況下才能打開。 電子郵件的 SMTP協(xié)議太差了，基本上無法校驗其它郵件服務(wù)器的可信度，我甚至可以自己建一個本機(jī)的郵件服務(wù)器，想用誰的郵件地址發(fā)信就用誰的郵件地址發(fā)信 。 所以，我再次真誠地告訴大家，請用 gmail郵箱 。別再跟我說什么 Mail之類的好用了。 上傳文件 ? 上傳文件是一個很危險的功能，尤其是你如果不校驗上傳文件的類型的話，你可能會中很多很多的招，這種攻擊相當(dāng)狠。 試想，如果用戶上傳給你一個 PHP、 ASP、 JSP的文件，當(dāng)有人訪問這個文件時，你的服務(wù)器會解釋執(zhí)行之，這就相當(dāng)于他可以在你的服務(wù)器上執(zhí)行一段程序。這無疑是相當(dāng)危險的。 ? 舉個例子： ? form action= method=post enctype=multipart/formdata 要上傳的文件 : input type=file name=filename/ br/ input type=submit name=submit value=Submit/ /form$target = pictures/ . basename($_FILES[39。uploadedfile39。][39。name39。])。 if(move_uploaded_file($_FILES[39。uploadedfile39。][39。tmp_name39。], $target)){ echo 圖片文件上傳成功 。 }else{/div echo 圖片文件上傳失敗 。 }假如我上傳了一個 PHP文件如下： ? ?php system($_GET[39。cmd39。])。 ?那么，我就可以通過如下的 URL訪問攻擊你的網(wǎng)站了： ? 抵御的 2種手段 ? 1）限制上傳文件的文件擴(kuò)展名。 ? 2）千萬不要使用 root或 Administrator來運行你的 Web應(yīng)用。 ? URL跳轉(zhuǎn) ? URL跳轉(zhuǎn)很有可能會成為攻擊利用的工具。 ? 比如下面的 PHP代碼： ? $redirect_url = $_GET[39。url39。]。 header(Location: . $redirect_url)。這樣的代碼可能很常見，比如當(dāng)用戶在訪問你的網(wǎng)站某個頁觀的時候沒有權(quán)限，于是你的網(wǎng)站跳轉(zhuǎn)到登錄頁面，當(dāng)然登錄完成后又跳轉(zhuǎn)回剛才他訪問的那個頁面。一般來說，我們都會在跳轉(zhuǎn)到登錄頁面時在 URL里加上要被跳轉(zhuǎn)過去的網(wǎng)頁。于是會出現(xiàn)上述那樣的代碼。 ? 于是我們就可以通過下面的 URL，跳轉(zhuǎn)到一個惡意網(wǎng)站上，而那個網(wǎng)站上可能有一段CSRF的代碼在等著你，或是一個釣魚網(wǎng)站。 ? 于，用戶看到的 以為是一個合法網(wǎng)站，于是就點了這個鏈接，結(jié)果通過這個合法網(wǎng)站，把用戶帶到了一個惡意網(wǎng)站，而這個惡意網(wǎng)站上可能把頁面做得跟這個合法網(wǎng)站一模一樣，你還以為訪問的是正確的地方，結(jié)果就被釣魚了 。 ? 解決這個問題很簡單，你需要在你的后臺判斷一下傳過來的 URL的域名是不是你自己的域名。 ? 你可以看看 Google和 Baidu搜索引擎的鏈接跳轉(zhuǎn)，百度的跳轉(zhuǎn)鏈接是被加密過的，而Google的網(wǎng)站鏈接很長，里面有網(wǎng)站的明文，但是會有幾個加密過的參數(shù)，如果你把那些參數(shù)移除掉， Google會顯示一個重定向的提醒頁面。（我個人覺得還是 Google做得好） 謝謝觀看！ ? 更多詳情
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1