成人无码视频,亚洲精品久久久久av无码,午夜精品久久久久久毛片,亚洲 中文字幕 日韩 无码

資訊專欄INFORMATION COLUMN

web security

livem / 1455人閱讀

摘要：是代替用戶完成指定的動作，需要知道其他用戶頁面的代碼和數(shù)據(jù)包。

常見web安全及防護原理

sql注入原理

就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務(wù)器執(zhí)行惡意的SQL命令

總的來說有以下幾點

永遠不要信任用戶的輸入，要對用戶的輸入進行校驗，可以通過正則表達式，或限制長度，對單引號和雙"-"進行轉(zhuǎn)換等

永遠不要使用動態(tài)拼裝SQL，可以使用參數(shù)化的SQL或者直接使用存儲過程進行數(shù)據(jù)查詢存取

永遠不要使用管理員權(quán)限的數(shù)據(jù)庫連接，為每個應(yīng)用使用多帶帶的權(quán)限有限的數(shù)據(jù)庫連接

不要把機密信息明文存放，請加密或者hash掉密碼和敏感的信息

XSS原理及防范

Xss(cross-site scripting)攻擊指的是攻擊者往Web頁面里插入惡意html標簽或者javascript代碼。比如：攻擊者在論壇中放一個看似安全的鏈接，騙取用戶點擊后，竊取cookie中的用戶私密信息；或者攻擊者在論壇中加一個惡意表單，當用戶提交表單的時候，卻把信息傳送到攻擊者的服務(wù)器中，而不是用戶原本以為的信任站點

XSS防范方法

首先代碼里對用戶輸入的地方和變量都需要仔細檢查長度和對”<”,”>”,”;”,”’”等字符做過濾；其次任何內(nèi)容寫到頁面之前都必須加以encode，避免不小心把html tag 弄出來。這一個層面做好，至少可以堵住超過一半的XSS 攻擊

XSS與CSRF有什么區(qū)別嗎？

XSS是獲取信息，不需要提前知道其他用戶頁面的代碼和數(shù)據(jù)包。CSRF是代替用戶完成指定的動作，需要知道其他用戶頁面的代碼和數(shù)據(jù)包。要完成一次CSRF攻擊，受害者必須依次完成兩個步驟

登錄受信任網(wǎng)站A，并在本地生成Cookie

在不登出A的情況下，訪問危險網(wǎng)站B

CSRF的防御

服務(wù)端的CSRF方式方法很多樣，但總的思想都是一致的，就是在客戶端頁面增加偽隨機數(shù)

通過驗證碼的方法

是否了解 Web 注入攻擊（最常見 XSS 和 CSRF）？

SQL注入

把SQL命令插入到表單或輸入URL查詢字符串提交，欺騙服務(wù)器達到執(zhí)行惡意的SQL目的

XSS(Cross Site Script)，跨站腳本攻擊

攻擊者在頁面里插入惡意代碼，當用戶瀏覽該頁之時，執(zhí)行嵌入的惡意代碼達到攻擊目的

CSRF(Cross Site Request Forgery)，跨站點偽造請求

偽造合法請求，讓用戶在不知情的情況下以登錄的身份訪問，利用用戶信任達到攻擊目的

如何防范 Web 前端攻擊？

不要信任任何外部傳入的數(shù)據(jù)

針對用戶輸入作相關(guān)的格式檢查、過濾等操作

不要信任在任何傳入的第三方數(shù)據(jù)

使用 CORS，設(shè)置 Access-Control-Allow-Origin

更安全地使用 Cookie

設(shè)置Cookie為HttpOnly，禁止了JavaScript操作Cookie

防止網(wǎng)頁被其他網(wǎng)站內(nèi)嵌為iframe

服務(wù)器端設(shè)置 X-Frame-Options 響應(yīng)頭，防止頁面被內(nèi)嵌

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://m.hztianpu.com/yun/52130.html

相關(guān)文章

  • Spring Boot 參考指南（安全）

    摘要：用于發(fā)布身份驗證事件的。導(dǎo)入用于安全，配置身份驗證，這在非應(yīng)用程序中也是相關(guān)的。安全出于安全考慮，除和之外的所有默認禁用，屬性可用于啟用。有關(guān)保護的其他信息可以在參考指南中找到。 28. 安全 如果在類路徑上有Spring Security，那么web應(yīng)用程序默認是安全的，Spring Boot依賴Spring Security的內(nèi)容協(xié)商策略來決定是使用httpBasic還是formL...

    XanaHopper 評論0 收藏0

  • [譯]Spring入門 - Web應(yīng)用程序安全

    摘要：一旦最基本的應(yīng)用創(chuàng)建好了，你可以給他加上安全防護。一旦成功登出了，我們的應(yīng)用程序重定向到到并顯示相應(yīng)的登陸成功的消息。這標記該應(yīng)用程序是一個應(yīng)用程序，并激活一些關(guān)鍵行為，比如創(chuàng)建一個。一旦應(yīng)用程序啟動，用瀏覽器訪問。 原網(wǎng)頁 https://spring.io/guides/gs/securing-web/ 本指南將引導(dǎo)您完成創(chuàng)建一個資源由Spring Security的保護的一個簡單...

    AlexTuan 評論0 收藏0

  • spring系列---Security 安全框架使用和文件上傳FastDFS

    摘要：框架入門簡介是一個能夠為基于的企業(yè)應(yīng)用系統(tǒng)提供聲明式的安全訪問控制解決方案的安全框架。 1.Spring Security框架入門 1.1 Spring Security簡介 Spring Security是一個能夠為基于Spring的企業(yè)應(yīng)用系統(tǒng)提供聲明式的安全訪問控制解決方案的安全框架。它提供了一組可以在Spring應(yīng)用上下文中配置的Bean，充分利用了Spring IoC，DI（...

    K_B_Z 評論0 收藏0

  • Spring MVC實現(xiàn)Spring Security，Spring Stomp websocket

    摘要：使用框架各個組件實現(xiàn)一個在線聊天網(wǎng)頁，當有用戶連接，服務(wù)器監(jiān)聽到用戶連接會使用推送最新用戶列表，有用戶斷開刷新在線列表，實時推送用戶聊天信息。根據(jù)請求頭是否等于判斷是否是。 使用Spring框架各個組件實現(xiàn)一個在線聊天網(wǎng)頁，當有用戶連接WebSocket，服務(wù)器監(jiān)聽到用戶連接會使用Stomp推送最新用戶列表，有用戶斷開刷新在線列表，實時推送用戶聊天信息。引入Jetty服務(wù)器，直接嵌入整...

    shuibo 評論0 收藏0

  • Spring之旅第十二站：Spring Security 數(shù)據(jù)存儲、攔截請求 、認證用戶、*、

    摘要：啟用安全性這個簡單的默認配置指定了如何保護請求，以及客戶端認證用戶的方案?；跀?shù)據(jù)庫進行認證用戶數(shù)據(jù)通常會存儲在關(guān)系型數(shù)據(jù)庫中，并通過進行訪問。必須經(jīng)過認證其他所有請求都是允許的，不需要認證。要求用戶不僅需要認證，還要具備權(quán)限。 Spring Security Spring Security 是基于Spring 應(yīng)用程序提供的聲明式安全保護的安全框架。Spring Sercurity ...

    YuboonaZhang 評論0 收藏0

  • Spring Boot Admin排坑指南

    摘要：其簡陋的頁面讓人不忍直視，但更新到系列后，像脫胎換骨一般好用這篇博客記錄我個人在使用過程中遇到過的坑，每個坑位都會附上詳細的填坑辦法環(huán)境參數(shù)服務(wù)直接注冊失敗常見的注冊失敗問題可以分為以下兩種服務(wù)端與客戶端不在同一臺服務(wù)器上提示安全校驗不通過 Spring Boot Admin 1.x其簡陋的頁面讓人不忍直視，但更新到2.x系列后，像脫胎換骨一般好用 這篇博客記錄我個人在使用Spring...

    CocoaChina 評論0 收藏0

發(fā)表評論

0條評論

閱讀需要支付1元查看
<