河南建网站,广州外贸网站建设开发,工控机做网站服务器,网站建设与管理读后感1、敏感信息明文传输
用户敏感信息如手机号、银行卡号、验证码等涉及个人隐私的敏感信息不通过任何加密直接明文传输。
如下图中小红书APP 的手机短信验证码登录接口#xff0c;此处没有对用户手机号和验证码等信息进行加密传输#xff0c;可以很简单的截取并开展一些合法的…1、敏感信息明文传输
用户敏感信息如手机号、银行卡号、验证码等涉及个人隐私的敏感信息不通过任何加密直接明文传输。
如下图中小红书APP 的手机短信验证码登录接口此处没有对用户手机号和验证码等信息进行加密传输可以很简单的截取并开展一些合法的工作。 可以对比下其他的APP如美团APP 的手机短信验证码登录接口就不是明文传输。 解决方案
前后端敏感参数的传递可以通过加密手段如借助AES 秘钥前后端加解密传输。最简单的用户手机号加密传输如下。 2、弱口令漏洞
这种情况其实很常见好多后台的管理系统甚至我之前公司的管理系统现在使用123456这种密码都可以登录进去。
解决方案
很多登录的框架都支持在配置文件开启用户登录密码强度级别和设置默认密码。使用至少12位的数字、字母及特殊字符组合作为密码。数据库不要存储明文密码应存储MD5加密后的密文由于目前普通的MD5加密已经可以被破解最好可以多重MD5加密或者多种加密方式叠加组合。
3、绕过密码登录直接进入后台
首先后台登陆验证的逻辑一般的方式都是将用户在登录界面输入的账号密码拿到数据库中的相关用户表做校验如果输入的账号密码等于数据库中某条记录则验证通过并且程序会给用户一个sssion然后进入后台反之就是返回登陆界面。
出现这种绕过密码登录的情况就是很早之前的典型案例 oror 漏洞校验用户登录的SQL如下。
select * from t_user where user_name ’or‘or And password 123456789
如果用户名在登录界面的 用户名 处输入要提交的信息为 oror 就会变成如上SQL假or真or假and真/假 真执行后得到对象的结果为真接下来就可以通过重定向进入后台了。 View Code
解决方案
通过配置过滤掉无效用户的登录请求。很早之前才会出现这个漏洞现在基本上的后台验证都不会使用这类方式而是取得用户输入的账号和密码在SQL中先将用户名与数据库中的记录做对比若数据库中某条记录的用户名等于用户输入的用户名则取出该条记录中的密码然后再与用户输入的密码对比。
4、浏览器缓存漏洞
系统正常存在的合法用户在“注销”后但未关闭浏览器此时点击浏览器“后退”按钮可从本地页面缓存中读取数据绕过了服务端filter过滤。
解决方案
在很多项目的 Config 配置文件中都有发现的如下配置即配置filter对存放敏感信息的页面限制缓存。
httpResponse.setHeader(“Cache-Control”,“no-cache”);
httpResponse.setHeader(“Cache-Control”,“no-store”);
httpResponse.setDateHeader(“Expires”, 0);
httpResponse.setHeader(“Pragma”,“no-cache”);
5、SQL注入漏洞
在HTTP 请求中注入恶意的SQL 代码最常见的手段就是在访问URL 后拼接SQL 代码服务器使用参数构建数据库SQL 命令时恶意SQL 被一起构造并在数据库中执行。如下拼接SQL
String query “SELECT * FROM t_users WHERE user_id ’” request.getParameter(“id”) “’”;
如果参数id 中是 or 11 就会返回所有数据。解决方案
不要拼接SQL字符串。使用预编译的PrepareStatement如。
PreparedStatement pstmt con.prepareStatement(“SELECT * FROM t_users WHERE u_name ?”);
pstmt.setString(1, “tjt”);
服务器端校验 (防止攻击者绕过web端请求)。过滤SQL 参数中的特殊字符比如单引号、双引号等。
6、文件上传漏洞
在文件上传前端界面用户上传了一个可执行的脚本文件并通过此脚本文件获得执行服务端命令的能力。
解决方案
设置文件上传的目录为不可执行。判断文件类型。在判断文件类型的时候可以结合使用MIME Type后缀检查等方式。以及限制上传文件的大小。对上传的文件类型进行白名单校验只允许上传可靠类型。上传的文件需要进行重新命名使攻击者无法猜想上传文件的访问路径将极大地增加攻击成本同时向shell.php.rar.ara这种文件因为重命名而无法成功实施攻击。给文件服务器设置单独的域名。
7、WEB 容器漏洞
Tomcat 有一个管理后台其用户名和密码在Tomcat安装目录下的conf omcat-users.xml文件中配置很多用户经常采用的是一些弱口令。而Tomcat 又支持在后台部署war包可以直接将webshell 部署到web目录下如果tomcat 后台管理用户存在弱口令这很容易被利用上传webshell。 解决方案
更改其默认路径口令及密码。Tomcat还有一些其他的漏洞最有效的防御就是修改配置文件防止未授权访问、弱口令、PUT方式传文件、readonly等然后最好更新最新版本的tomcat。
8、XSS 攻击
XSScross site scripting即跨站脚本攻击将一段Html 和JavaScript 代码注入到用户浏览的网页上。XSS 可以大概分为三类 DomXSS、反射型XSS 和 存储型XSS。
input typetext namename valuetjt
在前端界面有很多用户输入字符的操作如上表单如果用户输入的不是一个正常的字符串而是
/scriptalert(“tjt-hello-boy-isMe”)/script!-
然后JS页面变成下面的内容在输入框 input 的后面带上了一段脚本代码。
input typetext namename valuetjt
scriptalert(“tjt-hello-boy-isMe”)/script!-/
从上可以看出XSS攻击的威力取决于用户输入的JS 脚本。攻击者提交恶意的JS 代码客户端没有做xss校验都会存在客户端注入问题就会出现这段恶意执行的JS 代码。
解决方案
前后端限制字符串输入的长度限制。前后端限制对HTML 转义处理将其中的,等特殊字符进行转义编码。 9、CSRF 攻击
XSRF Cross-site request forgery即跨站请求伪造指攻击者通过跨站请求以合法的用户身份进行非法操作。攻击者盗用你的身份以你的名义向第三方网站发送恶意请求。CRSF 能做的事情包括利用你的身份发邮件发短信进行交易转账甚至盗取账号信息容易造成个人隐私泄露以及财产安全。
早期就会有很多这种网站挂了很多靓妹的图片或者让人有种想要点击的那些图片一旦你点击了其实是打开了一个链接比如发起银行转账请求而你的浏览器又恰巧登录浏览过该银行并且缓存未失效不出意外的话意外就发生了。随之后来的隐藏域手段、验证码、二次确认等机制这种攻击案例就少了。
解决方案
使用安全框架如Apache shiroSpring Security 等。结合安全框架充分校验Token在HTTP 请求中进行token 验证如果请求中没有token或者token内容不正确则认为CSRF攻击而拒绝该请求。验证码二次确认。通常情况下验证码能够很好的遏制CSRF攻击但是很多情况下出于用户体验考虑验证码只能作为一种辅助手段而不是最主要的解决方案。网上还说可以通过 referer识别。在HTTP Header中有一个字段Referer记录HTTP请求的来源地址。如果Referer是其他网站就有可能是CSRF攻击则拒绝该请求。但Referer 信息也极易伪造窃取HTTP 窃取源地址Header中添加Referer 字段。 10、DDOS 攻击
DDoS:Distributed Denial of ServiceDDOS 攻击指借助于客户/服务器技术将多个计算机联合起来作为攻击平台对一个或多个目标发动DDoS攻击从而成倍地提高拒绝服务攻击的威力。它的目的就是利用目标系统网络服务功能缺陷或者直接消耗其系统资源使得该目标系统无法提供正常的服务。 DDoS 攻击是通过大量合法的请求占用大量网络资源以达到瘫痪网络的目的其具体有下面几种形式
通过使网络过载来干扰甚至阻断正常的网络通讯通过向服务器提交大量请求使服务器超负荷阻断某一用户访问服务器阻断某服务与特定系统或个人的通讯。
解决方案
1、监控访问数据、过滤恶意流量定期检查服务器软件安全漏洞对外关闭不必要的服务和端口在服务器防火墙中只开启使用的端口比如网站web服务的80端口、数据库的3306端口、SSH服务的22端口等。
2、采用高性能的网络设备当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某种类的DDOS攻击是非常有效的。
3、HTTP请求拦截如果恶意请求有特征直接拦截就可以。HTTP请求的特征一般有两种IP地址和User Agent字段。
4、尽量避免NAT 的使用因为NAT需要对地址来回转换会较大降低网络通信能力。
5、足足的网络带宽带宽直接决定了能抗受攻击的能力假若仅仅有10M的话无论采取什么措施都很难对抗现在的DDOS 的 SYNFlood攻击没钱搞 100M有钱的搞到1000M。
6、将网站做成静态页面或者伪静态将网站做成静态页面不仅能大大提高抗攻击能力而且还给黑客入侵带来不少麻烦至少到现在为止关于HTML的溢出还没出现。
7、安装专业抗DDOS 防火墙。
8、备份网站有一个备份网站容错率就高很多生产服务器万一下线了可以立刻切换到备份网站。
