資訊專欄INFORMATION COLUMN
摘要：危險(xiǎn)網(wǎng)站發(fā)出的請(qǐng)求得以執(zhí)行。但同樣可以被攻擊取得會(huì)話固定誘騙用戶使用指定的進(jìn)行登錄，這樣系統(tǒng)不會(huì)分配新的防御方法每次登陸重置設(shè)置，防止客戶端腳本訪問信息，阻止攻擊關(guān)閉透明化頭信息驗(yàn)證校驗(yàn)好的話點(diǎn)個(gè)贊吧更詳細(xì)講解安全大全
1. CSRF （cross-site request forgery）跨站請(qǐng)求偽造
一句話概括：
當(dāng)用戶瀏覽器同時(shí)打開危險(xiǎn)網(wǎng)站和正常網(wǎng)站，危險(xiǎn)網(wǎng)站利用圖片隱藏鏈接，或者js文件操縱用戶生成錯(cuò)誤請(qǐng)求給正常網(wǎng)站。此時(shí)因?yàn)橛脩魰?huì)攜帶自己的session驗(yàn)證。危險(xiǎn)網(wǎng)站發(fā)出的請(qǐng)求得以執(zhí)行。
根本原因：web的隱式身份驗(yàn)證機(jī)制
解決辦法： 為每一個(gè)提交的表單生成一個(gè)隨機(jī)token， 存儲(chǔ)在session中，每次驗(yàn)證表單token，檢查token是否正確。
一句話概括：
網(wǎng)站對(duì)提交的數(shù)據(jù)沒有轉(zhuǎn)義或過濾不足，導(dǎo)致一些代碼存儲(chǔ)到系統(tǒng)中，其他用戶請(qǐng)求時(shí)攜帶這些代碼，從而使用戶執(zhí)行相應(yīng)錯(cuò)誤代碼
例如在一個(gè)論壇評(píng)論中發(fā)表：
這樣的話，當(dāng)其他用戶瀏覽到這個(gè)頁面，這段js代碼就會(huì)被執(zhí)行。當(dāng)然，我們還可以執(zhí)行一些更嚴(yán)重的代碼來盜取用戶信息。
解決辦法： 轉(zhuǎn)移和過濾用戶提交的信息
一句話概括：
用某種手段得到用戶session ID，從而冒充用戶進(jìn)行請(qǐng)求
原因： 由于http本身無狀態(tài)，同時(shí)如果想維持一個(gè)用戶不同請(qǐng)求之間的狀態(tài)，session ID用來認(rèn)證用戶
三種方式獲取用戶session ID：
預(yù)測：PHP生成的session ID足夠復(fù)雜并且難于預(yù)測，基本不可能
會(huì)話劫持： URL參數(shù)傳遞sessionID； 隱藏域傳遞sessionID；比較安全的是cookie傳遞。但同樣可以被xss攻擊取得sessionID
會(huì)話固定： 誘騙用戶使用指定的sessionID進(jìn)行登錄，這樣系統(tǒng)不會(huì)分配新的sessionID
防御方法：
每次登陸重置sessionID
設(shè)置HTTPOnly，防止客戶端腳本訪問cookie信息，阻止xss攻擊
關(guān)閉透明化sessionID
user-agent頭信息驗(yàn)證
token校驗(yàn)
好的話點(diǎn)個(gè)贊吧?。?！
更詳細(xì)講解： [web安全大全]
文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請(qǐng)注明本文地址：http://m.specialneedsforspecialkids.com/yun/11357.html
摘要：危險(xiǎn)網(wǎng)站發(fā)出的請(qǐng)求得以執(zhí)行。但同樣可以被攻擊取得會(huì)話固定誘騙用戶使用指定的進(jìn)行登錄，這樣系統(tǒng)不會(huì)分配新的防御方法每次登陸重置設(shè)置，防止客戶端腳本訪問信息，阻止攻擊關(guān)閉透明化頭信息驗(yàn)證校驗(yàn)好的話點(diǎn)個(gè)贊吧更詳細(xì)講解安全大全 1. CSRF （cross-site request forgery）跨站請(qǐng)求偽造 一句話概括： 當(dāng)用戶瀏覽器同時(shí)打開危險(xiǎn)網(wǎng)站和正常網(wǎng)站，危險(xiǎn)網(wǎng)站利用圖片隱藏鏈接，或...
摘要：應(yīng)用常見安全漏洞一覽注入注入就是通過給應(yīng)用接口傳入一些特殊字符，達(dá)到欺騙服務(wù)器執(zhí)行惡意的命令。此外，適當(dāng)?shù)臋?quán)限控制不曝露必要的安全信息和日志也有助于預(yù)防注入漏洞。 web 應(yīng)用常見安全漏洞一覽 1. SQL 注入 SQL 注入就是通過給 web 應(yīng)用接口傳入一些特殊字符，達(dá)到欺騙服務(wù)器執(zhí)行惡意的 SQL 命令。 SQL 注入漏洞屬于后端的范疇，但前端也可做體驗(yàn)上的優(yōu)化。 原因 當(dāng)使用外...
摘要：應(yīng)用常見安全漏洞一覽注入注入就是通過給應(yīng)用接口傳入一些特殊字符，達(dá)到欺騙服務(wù)器執(zhí)行惡意的命令。此外，適當(dāng)?shù)臋?quán)限控制不曝露必要的安全信息和日志也有助于預(yù)防注入漏洞。 web 應(yīng)用常見安全漏洞一覽 1. SQL 注入 SQL 注入就是通過給 web 應(yīng)用接口傳入一些特殊字符，達(dá)到欺騙服務(wù)器執(zhí)行惡意的 SQL 命令。 SQL 注入漏洞屬于后端的范疇，但前端也可做體驗(yàn)上的優(yōu)化。 原因 當(dāng)使用外...
摘要：網(wǎng)絡(luò)黑白一書所抄襲的文章列表這本書實(shí)在是垃圾，一是因?yàn)樗幕ヂ?lián)網(wǎng)上的文章拼湊而成的，二是因?yàn)槠礈愃教睿B表述都一模一樣，還抄得前言不搭后語，三是因?yàn)閮?nèi)容全都是大量的科普，不涉及技術(shù)也沒有干貨。 《網(wǎng)絡(luò)黑白》一書所抄襲的文章列表 這本書實(shí)在是垃圾，一是因?yàn)樗幕ヂ?lián)網(wǎng)上的文章拼湊而成的，二是因?yàn)槠礈愃教?，連表述都一模一樣，還抄得前言不搭后語，三是因?yàn)閮?nèi)容全都是大量的科普，不涉及技術(shù)...
閱讀 636·2023-04-25 18:37
閱讀 2796·2021-10-12 10:12
閱讀 8380·2021-09-22 15:07
閱讀 578·2019-08-30 15:55
閱讀 3186·2019-08-30 15:44
閱讀 2205·2019-08-30 15:44
閱讀 1636·2019-08-30 13:03
閱讀 1571·2019-08-30 12:55
