web security

livem 發布于2019-08-02 10:06 / 1393人閱讀

摘要：是代替用戶完成指定的動作，需要知道其他用戶頁面的代碼和數據包。

常見web安全及防護原理

sql注入原理

就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令

總的來說有以下幾點

永遠不要信任用戶的輸入，要對用戶的輸入進行校驗，可以通過正則表達式，或限制長度，對單引號和雙"-"進行轉換等

永遠不要使用動態拼裝SQL，可以使用參數化的SQL或者直接使用存儲過程進行數據查詢存取

永遠不要使用管理員權限的數據庫連接，為每個應用使用多帶帶的權限有限的數據庫連接

不要把機密信息明文存放，請加密或者hash掉密碼和敏感的信息

XSS原理及防范

Xss(cross-site scripting)攻擊指的是攻擊者往Web頁面里插入惡意html標簽或者javascript代碼。比如：攻擊者在論壇中放一個看似安全的鏈接，騙取用戶點擊后，竊取cookie中的用戶私密信息；或者攻擊者在論壇中加一個惡意表單，當用戶提交表單的時候，卻把信息傳送到攻擊者的服務器中，而不是用戶原本以為的信任站點

XSS防范方法

首先代碼里對用戶輸入的地方和變量都需要仔細檢查長度和對”<”,”>”,”;”,”’”等字符做過濾；其次任何內容寫到頁面之前都必須加以encode，避免不小心把html tag 弄出來。這一個層面做好，至少可以堵住超過一半的XSS 攻擊

XSS與CSRF有什么區別嗎？

XSS是獲取信息，不需要提前知道其他用戶頁面的代碼和數據包。CSRF是代替用戶完成指定的動作，需要知道其他用戶頁面的代碼和數據包。要完成一次CSRF攻擊，受害者必須依次完成兩個步驟

登錄受信任網站A，并在本地生成Cookie

在不登出A的情況下，訪問危險網站B

CSRF的防御

服務端的CSRF方式方法很多樣，但總的思想都是一致的，就是在客戶端頁面增加偽隨機數

通過驗證碼的方法

是否了解 Web 注入攻擊（最常見 XSS 和 CSRF）？

SQL注入

把SQL命令插入到表單或輸入URL查詢字符串提交，欺騙服務器達到執行惡意的SQL目的

XSS(Cross Site Script)，跨站腳本攻擊

攻擊者在頁面里插入惡意代碼，當用戶瀏覽該頁之時，執行嵌入的惡意代碼達到攻擊目的

CSRF(Cross Site Request Forgery)，跨站點偽造請求

偽造合法請求，讓用戶在不知情的情況下以登錄的身份訪問，利用用戶信任達到攻擊目的

如何防范 Web 前端攻擊？

不要信任任何外部傳入的數據

針對用戶輸入作相關的格式檢查、過濾等操作

不要信任在任何傳入的第三方數據

使用 CORS，設置 Access-Control-Allow-Origin

更安全地使用 Cookie

設置Cookie為HttpOnly，禁止了JavaScript操作Cookie

防止網頁被其他網站內嵌為iframe

服務器端設置 X-Frame-Options 響應頭，防止頁面被內嵌

GPU云服務器云服務器 secure Security errata security 圖片spring security

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/52130.html

Spring Boot 參考指南（安全）

摘要：用于發布身份驗證事件的。導入用于安全，配置身份驗證，這在非應用程序中也是相關的。安全出于安全考慮，除和之外的所有默認禁用，屬性可用于啟用。有關保護的其他信息可以在參考指南中找到。 28. 安全如果在類路徑上有Spring Security，那么web應用程序默認是安全的，Spring Boot依賴Spring Security的內容協商策略來決定是使用httpBasic還是formL...

XanaHopper 2019-08-19 11:18 評論0 收藏0
[譯]Spring入門 - Web應用程序安全

摘要：一旦最基本的應用創建好了，你可以給他加上安全防護。一旦成功登出了，我們的應用程序重定向到到并顯示相應的登陸成功的消息。這標記該應用程序是一個應用程序，并激活一些關鍵行為，比如創建一個。一旦應用程序啟動，用瀏覽器訪問。原網頁 https://spring.io/guides/gs/securing-web/ 本指南將引導您完成創建一個資源由Spring Security的保護的一個簡單...

AlexTuan 2019-08-14 14:05 評論0 收藏0
spring系列---Security 安全框架使用和文件上傳FastDFS

摘要：框架入門簡介是一個能夠為基于的企業應用系統提供聲明式的安全訪問控制解決方案的安全框架。 1.Spring Security框架入門 1.1 Spring Security簡介 Spring Security是一個能夠為基于Spring的企業應用系統提供聲明式的安全訪問控制解決方案的安全框架。它提供了一組可以在Spring應用上下文中配置的Bean，充分利用了Spring IoC，DI（...

K_B_Z 2019-08-19 11:09 評論0 收藏0
Spring MVC實現Spring Security，Spring Stomp websocket

摘要：使用框架各個組件實現一個在線聊天網頁，當有用戶連接，服務器監聽到用戶連接會使用推送最新用戶列表，有用戶斷開刷新在線列表，實時推送用戶聊天信息。根據請求頭是否等于判斷是否是。使用Spring框架各個組件實現一個在線聊天網頁，當有用戶連接WebSocket，服務器監聽到用戶連接會使用Stomp推送最新用戶列表，有用戶斷開刷新在線列表，實時推送用戶聊天信息。引入Jetty服務器，直接嵌入整...

shuibo 2019-08-16 15:20 評論0 收藏0
Spring之旅第十二站：Spring Security 數據存儲、攔截請求、認證用戶、*、

摘要：啟用安全性這個簡單的默認配置指定了如何保護請求，以及客戶端認證用戶的方案。基于數據庫進行認證用戶數據通常會存儲在關系型數據庫中，并通過進行訪問。必須經過認證其他所有請求都是允許的，不需要認證。要求用戶不僅需要認證，還要具備權限。 Spring Security Spring Security 是基于Spring 應用程序提供的聲明式安全保護的安全框架。Spring Sercurity ...

YuboonaZhang 2019-08-15 14:24 評論0 收藏0
Spring Boot Admin排坑指南

摘要：其簡陋的頁面讓人不忍直視，但更新到系列后，像脫胎換骨一般好用這篇博客記錄我個人在使用過程中遇到過的坑，每個坑位都會附上詳細的填坑辦法環境參數服務直接注冊失敗常見的注冊失敗問題可以分為以下兩種服務端與客戶端不在同一臺服務器上提示安全校驗不通過 Spring Boot Admin 1.x其簡陋的頁面讓人不忍直視，但更新到2.x系列后，像脫胎換骨一般好用這篇博客記錄我個人在使用Spring...

CocoaChina 2019-08-19 10:19 評論0 收藏0