安全校验Session验证码并避免绕开验证码攻击
发布时间：2022-06-30 20:15:41
标签：安全校验,Session
已经记不得是在哪个网站上看到的了，一般情况下对于验证码的校验，大家很容易写成下面这样：
<％
If Request.Form("SecurityCode") = Session("SecurityCode") Then
' TODO : Database operations
Else
Response.Write "Security code incorrect!"
End If
％>
验证码图片产生Session("SecurityCode")并保存正确的验证码值，然后获得用户提交的验证码值，然后两个一比对如果一样则表示验证码正确，否则验证码错误。表面上这样的算法没有什么问题，但是对于一种特殊情况则会让验证码形同虚设。
首先我们知道，对于上面的算法有个核心的地方就是我们要访问产生验证码图片的那个文件才会有个保存验证码值的Session，然后才能对用户的输入进行正确的比对，假如有心人构造一个绕开验证码图片文件的Form然后进行提交会得到什么呢？Session("SecurityCode")不存在为空，如果此时用户验证码什么都不输入，这时验证码校验就形同虚设了。好，这里利用漏洞攻击的关键就是验证码的Session，我们很容易就能够让服务器不产生这个Session从而使这样的攻击变成可能。
解决的方法也很容易，校验验证码的Session是否为空或者校验用户输入的验证码是否合法，构造安全表单的关键就是永远不要相信用户的输入。下面采用校验验证码Session和用户输入的双保险办法解决这个安全问题：
' str为要校验的验证码，len为验证码长度
Function IsSecurityCodeValid(str, len)
IsSecurityCodeValid = Not CBool( _
IsEmpty(str) Or CStr(str)="" Or Len(str)<len)
End Function
If IsSecurityCodeValid(Request.Form("SecurityCode"), 4) AND _
IsSecurityCodeValid(Session("SecurityCode"), 4) AND _
Request.Form("SecurityCode") = Session("SecurityCode") Then
' TODO : Database operations
Else
Response.Write "Security code incorrect!"
End If
0
投稿猜你喜欢
- jsonpathjsonpath 用于多层嵌套 json格式的 解析。pip install jsonpathJsonPath描述$根节点@
- 1.由于设置了slave的配置信息，mysql在数据库data目录下生成master.info,所以如有要修改相关slave的配置要先删除该
实际上，无论是jupyter lab还是juputer notebook其工作目录都是对应在实际磁盘的某个区域的，可以使用％pwd命令进行查- print函数：Python中可以直接使用的函数，可以将信息展示在控制台print()函数可以输出哪些内容？print()函数输出的内容可以
- 导语之前有很多小伙伴说想学习一下多线程图片下载器，虽然好像已经过去很久了，不过还是上来安排一波吧。至于题目为什么说是构建一个小型数据集，因为
- 什么是反射在Python中，反射是指通过一组内置的函数和语句，在运行时动态地访问、检查和修改对象的属性、方法和类信息的机制。Python中的
- 解决python -v报错问题的方法：在cmd命令行中输入“python -v”报错是因为没有将python的安装路径添加到系统环境变量pa
- 什么是下载？首先客户端会问服务器，有没有一个xxx的文件啊？服务器开始寻找，找到后对客户端说有，然后客户端在本地新建一个文件，客户端从服务器
- 这样处理的弊端是：如果数据量大，子分类很多，达到4级以上，这方法处理极端占用数据库连接池 对性能影响很大。 如果用SQL下面的CTE递归处理
- 数学模块import mathceil -- 上取整对一个数向上取整（进一法），取相邻最近的两个整数的最大值。import mathres
- 静态数据类型静态数据类型是指不可以对该数据类型进行修改，即只读的数据类型。迄今为止学过的静态数据类型有字符串，元组。在使用[]操作符对字符串
- 前言当我们开始准备数据建模、构建机器学习模型的时候，第一时间考虑的不应该是就考虑到选择模型的种类和方法。而是首先拿到特征数据和标签数据进行研
- 一、共享变量共享变量：当多个线程访问同一个变量的时候。会产生共享变量的问题。例子：import threadingsum = 0loopSu
- 如题：在python的函数调用中需要记录时间，下面是记录毫秒时间的方法。import datetimeimport timet1 = dat
- 目录：1.安装python32.安装flask3.简单的服务器代码编写4.设置FLASK_APP路径并启动服务器程序1.安装python3p
- 本文实例讲述了Python通过调用有道翻译api实现翻译功能。分享给大家供大家参考，具体如下：通过调用有道翻译的api,实现中译英、其他语言
- 这篇文章主要介绍了python3 反射的四种基本方法解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的
- 由于计算机软件的非法复制，通信的泄密、数据安全受到威胁。一般为了安全，会要求将数据库名称、密码等信息进行加密。所以加密在开发过程中是经常使用
- 1、灵活运用样式 熟悉网页设计的网友就知道，调用Style的方法很多，我们可以单击鼠标右键选择Custon Style来调用Style标准，
- 一、怎么样取得最新版本的MySQL？要安装MySQL,首先要当然要取得它的最新版本，虽然大家都知道在FreeBSD的Packages中可以找
