WEB有效应用安全攻防技术讲座徐震，电力行业指导培训.ppt

* 在上图中，恶意攻击者（这里使用 E 表示）通过 E‐mail 或 HTTP 将某银行的网址链接发给用户（银行用 表示），该链接中附加了恶意的脚本（上图步骤一）；用户访问发来的链接，进入银行网站，同时，嵌在链接中的脚本被用户的浏览器执行（上图步骤二、三）；用户在银行网站的所有操作，包括用户的 cookie 和 session 信息，都被脚本收集到，并且在用户毫不知情的情况下发送给恶意攻击者（上图步骤四）；恶意攻击者使用偷来的 session 信息，伪装成该用户，进入银行网站，进行非法活动（上图步骤五）。 * * esacpeshellarg函数会将任何惹起参数或命令结束的字符转义，单引号“”，替换成“\”，双引号“”，替换成“\”，分号“;”替换成“\;” 　　用safe_mode_exec_dir指定可执行文件的路径，可以把会运用的命令提前放入此路径内 　　safe_mode = On 　　safe_mode_exec_di r= /usr/local/php/bin/ * * %5c是web服务器的转换符，用来代表一些常见字符，这里表示的是“\” * * 应用层： HTTP Get Flood、Connection Flood 、 CC 攻击 DNS Flood 网络层 SYN Flood、ACK Flood、ICMP Flood、UDP Flood、Strem Flood等 伪造 * * 在绝大多数情况下，sessionID采用cookie来传递，个别情况下采用URL重写和隐藏按钮来传递 获取他人Session ID的方法有：中间人、sniffer、跨站脚本等 与CSRF区别：这里攻击者窃取信息，自己冒充用户，实现会话劫持；CSRF诱使用户的浏览器发出恶意的合法操作 * * * * * A CSRF attack forces a logged-on victims browser to send a pre-authenticated request to a vulnerable web application, which then forces the victims browser to perform a hostile action to the benefit of the attacker. CSRF can be as powerful as the web application that it attacks. * * Bus. Functions * l????????验证你的结构 n????????识别所有的敏感数据； n????????识别这些数据存放的所有位置； n????????确保所应用的威胁模型能够应付这些攻击； n????????使用加密手段来应对威胁 l????????使用一定的机制来进行保护 n????????文件加密；数据库加密；数据元素加密 l????????正确的使用这些机制 n????????使用标准的强算法； n????????合理的生成，分发和保护密钥； n????????准备密钥的变更 l????????验证实现方法 n????????确保使用了标准的强算法； n????????确保所有的证书、密钥和密码都得到了安全的存放； n????????有一个安全的密钥分发和应急处理的方案； * * * * * * * * * * * * 该图表达的意思？？ * * 篡改的的方法之一：代理 （老翟） * * * * 方法需要推敲 * * * * 拒绝服务攻击：是指攻击者通过某种手段，有意地造成计算机或网络不能正常运转从而不能向合法用户提供所需要的服务或者使得服务质量降低? * * * * WEB应用防火墙用以解决诸如防火墙一类传统设备束手无策的WEB应用安全问题。 * * * 原理 下面是chinaunix论坛，登录时候，如果出错，则输入如下页面： /Login?return_url=http%3A%2F%2F%2Fbatch.login.php%3Faction%3Dlogin%26loginsubmit%3D1%26referer%3D 泄露了数据库表等信息。 风险 泄露系统信息 和其他攻击手段联合实施攻击 * 防护方法 关闭任何有关程序代码的错误信息 将所有可能之错误信息统一以单独一种形式输出，避免数据被收集 3.12.隐藏域篡改 * 概述 Hidden field tampering，又称隐藏变量篡改 由于HTTP的无状态特性，很多应用借助Form中的隐藏域在请求之间保持数据，攻击者通过修改隐藏域的内容，实现对服务器端的欺骗，达到攻击目的，为自己谋取利益 * 概述 透视Google界面 * 概述 透视当当网（