03網(wǎng)絡(luò)應(yīng)用安全檢測和防護(hù)-在線瀏覽
2025-02-05 07:18本頁面
【正文】 級統(tǒng)計局門戶網(wǎng)站 ? …… 網(wǎng)站列表 ? 每月 ? 每季度 ? 每半年 ? …… 檢查周期 ? 非報送期 ? 非工作時間 漏洞檢查 ? 跨站腳本 ? SQL注入 ? …… 漏洞確認(rèn) ? 《 安全事件通知書 》 ? 《 安全風(fēng)險提示單 》 安全風(fēng)險提示單 ? 整改結(jié)束之后進(jìn)行復(fù)測 復(fù)測 國家局檢查機(jī)制（上線前檢查） 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 13 ? 以風(fēng)險為導(dǎo)向 WEB遍歷 ?模擬黑客進(jìn)行無害的攻擊滲透 ? 通 過 各 類測 試 用 例對 網(wǎng) 站 進(jìn)行測試 ? 通過各類已知和未知木馬進(jìn)行檢測 深度 掃描 滲透 測試 黑盒 檢測 木馬 檢測 網(wǎng)站漏洞掃描幾種主要方法 掃描結(jié)果事例 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 15 統(tǒng)計系統(tǒng)網(wǎng)站漏洞分布情況 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 16 OWASP(開放式 Web應(yīng)用程序安全項目 )對注入漏洞的定義 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 17 注入漏洞 Sql注入 ? SQl注入（ SQL Injection）技術(shù)在國外最早出現(xiàn)在 1999年，我國在 2023年后開始大量出現(xiàn)。 ? 在任何使用了數(shù)據(jù)庫查詢環(huán)境下都可能存在 ? 造成 SQL注入攻擊漏洞的原因，是由于程序在編寫WEB程序時，沒有對瀏覽器端提交的參數(shù)進(jìn)行嚴(yán)格的過濾和判斷。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 18 – 在網(wǎng)站管理登錄頁面要求帳號密碼認(rèn)證時，如果攻擊者在“ UserID” 輸入框內(nèi)輸入“ admin”，在密碼框里輸入“ anything’ or 1=’1’ ” – 提交頁面后，查詢的 SQL語句就變成了： Select from user where username=‘a(chǎn)dmin’ and password=’anything’ or 1=’1’ – 不難看出，由于“ 1=‘1’ ”是一個始終成立的條件，判斷返回為“真”，密碼的限制形同虛設(shè)，不管用戶的密碼是不是 Anything，他都可以以 admin的身份遠(yuǎn)程登錄，獲得后臺管理權(quán)，在網(wǎng)站上發(fā)布任何信息。 ? [2]惡意篡改網(wǎng)頁內(nèi)容。 ? [4]網(wǎng)頁掛馬。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 20 解決方案 ? [1]所有的查詢語句都使用數(shù)據(jù)庫提供的參數(shù)化查詢接口 ? [2]對進(jìn)入數(shù)據(jù)庫的特殊字符（ ‘“\尖括號 *。 ? [4]數(shù)據(jù)長度應(yīng)該嚴(yán)格規(guī)定； ? [5]網(wǎng)站每個數(shù)據(jù)層的編碼統(tǒng)一； ? [6]嚴(yán)格限制網(wǎng)站用戶的數(shù)據(jù)庫的操作權(quán)限，給此用戶提供僅僅能夠滿足其工作的權(quán)限，從而最大限度的減少注入攻擊對數(shù)據(jù)庫的危害。 ? [8]確認(rèn) PHP配置文件中的 Magic_quotes_gpc選項保持開啟。建立一個正式的安全過程 (formal security process)，在每次你做更新時，對所有的編碼做審評。不論是發(fā)布部署應(yīng)用還是更新應(yīng)用，請始終堅持做安全審評。 ? [11]使用第三方 WEB防火墻來加固整個網(wǎng)站系統(tǒng)。被嵌入的 URL包含惡意代碼，可能竊取正常用戶的用戶名、密碼，也可能竊取或操縱認(rèn)證會話，以合法用戶的身份執(zhí)行相關(guān)操作。 ? [2]屏蔽頁面特定信息。 ? [4]拒絕服務(wù)攻擊。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理處 23 解決方案 ? 過濾客戶端提交的危險字符，客戶端提交方式包含 GET、 POST、 COOKIE、UserAgent、 Referer、 AcceptLanguage等，其中危險字符如下： |、 、 。 ? 如果一個應(yīng)用程序使用動態(tài)頁面向用戶顯示錯誤消息，就會造成一種常見的 XSS漏洞。 ? 。 2023/1/22 局?jǐn)?shù)據(jù)管理中心安全管理
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1