1. 防止SQL注入
a. 除了过滤单引号“ ’ ”,还要过滤数据库中的注释符号“ – ”。
b. SQL语句中的字符串拼接,是很不靠谱的;实在要拼接,一定要从代码安全的角度多想想。
2. 文件上传漏洞
这是我头一次听说有这么一个漏洞。
现象:
假设我们使用的是IIS6.0及之前版本,当我们上传一个文件名为【熊猫烧香.aspx .jpg】,那么存到服务器上的文件将会是【熊猫烧香.aspx】。
原因:
文件名【熊猫烧香.aspx .jpg】在“.aspx”和“.jpg”之间有一个蛮像空格的符号,其实是通过16进制编码器修改出来的“ \0 ”,IIS6.0及之前版本对于上传文件名的解析是从左向右的,如果在解析时遇到空格,就认为这个文件名已经结束,于是存在服务器上的文件就是【熊猫烧香.aspx】。
解决方案:
我们一般都会对上传文件的后缀名进行检查,但是IIS的漏洞绕过了我们的检查,于是上传文件重命名就是一个不错的解决办法。我们把每次上传文件的后缀拿出来,取个新名字,再加上原后缀,这个问题就可解决。
我在之前的开发,有过上传文件的程序,碰巧我对每个上传文件都进行了重命名,但我并不知道有这个漏洞,运气啊运气…
另外补充两点:
a. 如果文件名中包含特殊字符,比如【熊猫烧香又来了.aspx;不是吧.jpg】这是一个文件名,中间包含分号“ ; ”,IIS6.0及之前版本在上传文件时正常,但是在解析时分号“ ; ”之后的文件名都不认。
b. Apache服务器对上传文件的检查是从右向左的。
3. Cookie欺骗
这个应该很简单,大家都知道从哪里可以拿到cookie,怎么伪装cookie,怎么把一台机器上的cookie移到另外一台… Cookie很常用,特别在跨域访问时,我们常常会把用户名加密以后放在客户端。检查用户是否登录,就会去查看这个cookie,那么请别忘了在检查时加上客户端ip一起校验,在一定程度上可以阻止cookie欺骗。
4. XSS跨站脚本攻击
对于这种攻击,我们要对左右尖括号“<、>”、分号“ ; ”、单引号“ ’ ”进行过滤。我们对于用户输入或者获取来自地址栏的参数值(Request.QueryString["XXX"]),不应支持HTML编码。处理的方法有很多,”HttpUtility.UrlEncode”就是一种。
5. 其他漏洞
标签<body>有个属性”onload”,它会把属性中的值直接解析为javascript脚本,而不需要”<script></script>”或”javascript:”。据说淘宝曾经因为不知道这个漏洞,而导致上万的用户受到损失。
转载自:智博网 http://www.cnblogs.com/BenjaminYao/archive/2010/07/09/1774074.html
分享到:
相关推荐
网络安全知识竞赛(1) 网络安全知识竞赛(1)全文共21页,当前为第1页。网络安全知识竞赛(1)全文共21页,当前为第1页。 网络安全知识竞赛(1)全文共21页,当前为第1页。 网络安全知识竞赛(1)全文共21页,当前为第1页。 1...
3.1 对应通用基本要求;3.2 恶意代码形式;3.2 恶意代码形式;3.2 恶意代码形式;3.3 恶意代码分类;3.3 恶意代码分类;3.3 恶意代码分类;3.3 恶意代码分类;3.3 恶意代码分类;3.3 恶意代码分类;3.3 恶意代码分类;3.3 恶意...
《物联网信息安全》教学大纲 课程代码:0302040508 课程名称:物联网信息安全 学 分:4 总 学 时:64 讲课学时:64 实验学时:0 上机学时:0 适用对象:物联网工程专业 先修课程:《物联网工程概论》、《通信原理》...
为了提高软件的安全性,常使攻击者难以理解专利...简要概述了代码迷惑技术基本内容,阐述了基本块和流图的相关知识,给出了可归约流图变换为不可归约流图的迷惑变换具体的算法及实验结果,并对算法的有效性进行了分析。
[网络安全自学篇] 十四.Python攻防之基础常识、正则表达式、Web编程和套接字通信(一) [网络安全自学篇] 十五.Python攻防之多线程、C段扫描和数据库编程(二) [网络安全自学篇] 十六.Python攻防之弱口令、自定义...
该文件利用C++以及easyx图形库(如果您不了解easyx图形库,建议先去学习一下其基本知识,不然代码可能有些难理解)实现了一个代码雨的效果。文件中包含了安装包,有兴趣的朋友可以在电脑上安装或是分享给自己的好...
1.1.2 可重用代码的基本特性 1.2 重用的神话 1.3 重用的障碍 1.3.1 非技术障碍 1.3.2 技术障碍 1.4 希望是否尚存 1.5 这本书能给我们带来什么 l.6 练习 1.7 参考文献和相关资料 第2章 类的设计 2.1 抽象...
第1章 预备知识 1.1 Linux内核简介. 1.2 Intel X86 CPU系列的寻址方式 1.3 i386的页式内存管理机制 1.4 Linux内核源代码中的C语言代码 1.5 Linux内核源代码中的汇编语言代码 第2章 存储管理 2.1 Linux内存管理的...
通过阅读本书,可以帮助读者更深层次地了解内核态下的信息安全知识。 《Windows内核安全编程从入门到实践》适合大专院校计算机系的学生、Windows程序员、从事信息安全行业的工程师以及所有对Windows内核安全编程感...
该资料是《Android高级编程》的源代码 对应的书籍资料见: Android高级编程 基本信息 原书名: Professional Android Application Development 原出版社: Wrox 作者: (英)Reto Meier 译者: 王鹏杰 霍建同 出版社...
1. 网络安全基础知识:介绍了网络安全的基本概念、攻击类型和常见漏洞,帮助读者建立起对网络安全的整体认识。 2. 安全编码实践:详细介绍了安全编码的原则和最佳实践,包括输入验证、输出编码、访问控制等方面的...
课程名称:信息安全与保密概论 课程代码:7131 一、课程性质与设置目的 (一)课程性质和特点 《信息安全与保密概论》是高等教育自学考试“计算机技术与应用”专业中一门重要的专业课。本课程主要介绍信息安全的...
3.1 对应通用基本要求;3.2 安全策略集中审计;3.2 安全策略集中审计;3.2 安全策略集中审计;3.3 恶意代码防护产品;3.3 恶意代码防护产品;3.4 如何检查是否符合要求;3.4 如何检查是否符合要求;3.4 如何检查是否符合要求...
需要注意的是,这种全本浏览的方式,也可能是整理的方式,也是我所需要的,就是能够对自己所掌握的知识进行一个系统的整理,这个目前不去实现。 如果简化成为这样一个状态,perCDM不但可以搜索代码,而且可以同时搜索...
网络安全知识总结全文共14页,当前为第1页。网络安全知识总结全文共14页,当前为第1页。网络安全知识总结 网络安全知识总结全文共14页,当前为第1页。 网络安全知识总结全文共14页,当前为第1页。 1. 网络平安学习...
17.1.2 JavaSE 5.0中固定尺寸线程池的基本知识 374 17.1.3 自定义尺寸固定线程池的使用 375 17.1.4 单任务线程池的使用 377 17.1.5 可变尺寸线程池的使用 378 17.1.6 延迟线程池的使用 380 17.1.7 使用...
包含:安全攻防实践、恶意代码与安全漏洞、访问控制与审计监控、基本安全管理措施、密码学基础、密码学应用、软件安全开发、网络安全设备、网络协议及架构安全、系统安全、系统应用安全、信息安全保障基本知识、信息...
使用客户端状态,虽然有安全隐患,但是具有良好的编程能力,以及基本的安全知识,能够较好的解决安全问题,同时也能够提高服务器性能。下面小结了一些客户端状态的优缺点。 q 视图状态:推荐当存储少量挥发到自身的...
网络基本的安全知识什么叫SYN包? 答:TCP连接的第一个包,非常小的一种数据包。SYN攻击包括大量此类的包,由于这些包看上去来自实际不存在的站点,因此无法有效进行处理。 问:加密技术是指什么? 答:加密...
PHP代码安全和XSS,SQL注入等对于各类网站的安全非常中用,尤其是UGC(User Generated Content)网站,论坛和电子商务网站,常常是XSS和SQL注入的重灾区。这里简单介绍一些基本编程要点, 相对系统安全来说,php安全...