應(yīng)用系統(tǒng)剩余信息保護(hù)的技術(shù)實(shí)現(xiàn)-在線瀏覽
2024-08-23 22:59本頁面
【正文】 清空或者寫入隨機(jī)的無關(guān)信息。假設(shè)用戶甲在登錄應(yīng)用程序A的時(shí)候，輸入了用戶名和密碼。通常情況下，為了防止攻擊者采用自動(dòng)腳本對(duì)應(yīng)用程序進(jìn)行攻擊，應(yīng)用系統(tǒng)會(huì)要求用戶輸入校驗(yàn)碼，并優(yōu)先對(duì)校驗(yàn)碼進(jìn)行驗(yàn)證。在校驗(yàn)碼驗(yàn)證通過后，應(yīng)用系統(tǒng)應(yīng)從數(shù)據(jù)庫中讀取用戶身份信息表，并在其中查找是否存在用戶輸入的用戶名。如果在用戶身份信息表中找到用戶名，應(yīng)用程序一般應(yīng)采用一種哈希（hash）算法（通常是MD5算法）對(duì)用戶輸入的密碼進(jìn)行運(yùn)算得到其哈希值，并與數(shù)據(jù)庫用戶身份信息表中存儲(chǔ)的密碼哈希值進(jìn)行比較。圖1應(yīng)用程序?qū)ζ溆脩舻纳矸蓁b別流程圖通常情況下，應(yīng)用系統(tǒng)在使用完內(nèi)存中信息后，是不會(huì)對(duì)其使用過的內(nèi)存進(jìn)行清理的。為了達(dá)到對(duì)剩余信息進(jìn)行保護(hù)的目的，需要身份認(rèn)證函數(shù)在使用完用戶名和密碼信息后，對(duì)曾經(jīng)存儲(chǔ)過這些信息的內(nèi)存空間進(jìn)行重新的寫入操作，將無關(guān)（或者垃圾）信息寫入該內(nèi)存空間，也可以對(duì)該內(nèi)存空間進(jìn)行清零操作。void IsCorrectUser ()｛char* pcUserName = NULL。pcUserName = (char*) malloc(128 * sizeof(char))。GetUserNameAndPassword(pcUserName, pcPassword)。int i = 0。 i 128。*( pcPassword + i) = 0。free(pcUserName)。free(pcPassword)。｝函數(shù)IsCorrectUser采用malloc函數(shù)為存儲(chǔ)用戶名和密碼分別動(dòng)態(tài)申請(qǐng)了128字節(jié)的內(nèi)存。此外，需要說明的是在GetUserNameAndPassword和CheckUserNameAndPassword函數(shù)中也要同樣對(duì)存儲(chǔ)過用戶名和密碼的內(nèi)存進(jìn)行使用后清空操作，才能夠完成對(duì)剩余信息的保護(hù)工作。下面以應(yīng)用程序?qū)σ粋€(gè)文件的刪除為例，介紹一下如何對(duì)硬盤中的剩余信息進(jìn)行保護(hù)。void DeleteFile (char* pcFilePath){long lCurrentPosition = 0。int iCounter = 0。039。if
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1