web脚本程序攻击的防范
作者：lanker 来源：cnwill.com 发布时间：2007-10-18 13:29:00
如今WEB的安全问题影响着整个安全界，SQL注入，跨站脚本攻击等攻击受到了关注。
网络安全问题日益变的更加重要，国内依然有很多主机受到此类安全的威胁，所以我们今天讲讲如何通过安全的编写WEB程序把损失降的更小。
综观WEB主机所到的安全威胁，大多都是WEB脚本程序造成，下面就谈下如何防范受到攻击。
1，现在很多站点为了减少开发的时间，很多站点都部分或全部采用了第三方程序，这无疑是个节省时间的好办法，但也为站点的安全性增加了风险。
如果你使用了第三方公开的程序那你就要注意了，因为这类程序的源码是公开的在网上随便都可以找到，很容易被黑客下载下来去研究其中的漏洞，这样你受攻击的可能性就增加了。举个简单的例子吧，就单说国内的名气不错的动网吧，风格和实用性什么的都不错，在国内也有很多站点的论坛都采用的是动网，但动网的重大漏洞也不少，就单说上些日子比较严重的UPFILE的漏洞吧，直接上传ASP木马可怕吧！这样每当动网出现一次大的漏洞就涉及到用动网程序的站点也出现了漏洞，这两天我没事就在网上闲逛，发现很多站点的论坛用的还是动网的6.0的版本呢，人家官方的都是DVBBS7.0+SP2的了。漏洞就不用说了，肯定是存在N多了。
解决办法：尽量少用或不用第三方程序，或应对第三方的程序进行评估后采用，另管理员不要偷懒要经常去官方站点下载更新补丁。
2. 如果你采用的是自己开发的程序，那就要注意在程序输入的地方要有严格的过滤，这也是最容易受到攻击的地方，比如SQL的注入，跨站脚本攻击基本都是利用过滤不严格，来构造畸形语句进行的。这就是所谓的输入验证攻击，你应该明白的是每一个GET和POST请求都可以用来进行输入验证攻击。然而最容易受到攻击的地方就是输入字段。通常情况下这些字段是登陆名，口令，地址，电话号码，个人主页等以及搜索的地方。还有个比较容易忽略的地方就上COOKIE的过滤，让我们来看看BBSXP+SP1的源码
下面是upface.asp 的部分代码：
...........
<％
top
if Request.Cookies("username")=empty then error("<li>您还未<a href=login.asp>登录</a>社区")
if Request("menu")="up" then
id=Conn.Execute("Select id From [user] where username=’"&Request.Cookies("username")&"’")(0)
...........
可以很清楚的看到 对 Request.Cookies("username") 这个变量根本未做任何的过滤，象这样的未过滤的地方在BBSXP里还有很多。这可以让我们来提交构造的包进行注入攻击。
0
投稿猜你喜欢
自定义分页样式，不多废话，直接上代码~ html部分<div id="my_id"> &nbs- 目录一、列表求并集1. union_by二、列表求交集1. intersection_by三、列表求差集1. difference2. di
- 写了一段时间java切回写python偶尔会出现一些小麻烦，比如：在java中自定义对象变成json串很简单，调用一个方法就行，但同样的转换
- vue-amap是对高德地图JS API进行封装的、适用于vue项目的地图组件库。在笔者开发的很多项目中都有用到，相比直接使用高德地图JS
- 1，建立数据库文件cnbruce.mdb（不设计任何表）建立数据库的代码：<％ Option Explicit&
- 在一个大型数据库中，数据的更改是非常频繁的。 而建立在这些数据上的索引也是需要经常去维护的。 否则这这些数据索引就起不到起应起的作用。甚至会
- 过滤器模板层对变量的操作实际还有很多，过滤器就是其中一种。学过Linux系统的一定知道管道操作符，其可以将上一步输出直接作为下一步输入进行处
- 简单方法:models.pyclass IceCreamBar(models.Model): title
- Python中的[1:]意思是去掉列表中第一个元素（下标为0），去后面的元素进行操作，以一个示例题为例，用在遍历中统计个数：题：读入N名学生
- Keras中构建RNN的重要函数1、SimpleRNNSimpleRNN用于在Keras中构建普通的简单RNN层，在使用前需要import。
- WHERE 条件有时候操作数据库时，只操作一些有条件限制的数据，这时可以在SQL语句中添加WHERE子句来规定数据操作的条件。语法：SELE
- 在使用操作XML文件时,我们可以使用Load方法直接加载xml文件即可，在ie和ff下通用。但是是XML字符串，则在两种浏览器下就会有所不同
- 目录1.celery异步消息队列介绍celery应用举例Celery有以下优点Celery 特性2.工作原理 *****Celery 扮演生
- 最近要做个从 pdf 文件中抽取文本内容的工具，大概查了一下 python 里可以使用 pdfminer 来实现。下面就看看怎样使用吧。PD
- '-----------------------------------------------------------
- 前言上篇文章，讲了经典卷积神经网络-resnet，这篇文章通过resnet网络，做一些具体的事情。一、技术介绍总的来说，第一步首先要加载数据
- 实例如下：#! /usr/bin/python# -*- coding: utf-8 -*-import osdef del_dir_tre
- 先说下自己的环境，redis是部署在centos上的，爬虫运行在windows上，1. 安装redisyum install -y redi
- Template无疑是一个好东西，可以将字符串的格式固定下来，重复利用。同时Template也可以让开发人员可以分别考虑字符串的格式和其内容
- 简介如果你经常网上冲浪，这样参差不齐的多栏布局，是不是很眼熟啊？类似的布局，似乎一夜之间出现在国内外大大小小的网站上，比如 Pinteres
