WEB应用安全设计思想.pptVIP

反例：magic_quotes_gpc 性能上有损失 并非所有的应用都需要 没有在正确的地方做正确的事情（屡屡被绕过） 安全系统的发展 总结 1 Secure by default Unpredictable Separate data and code Strict access control Audit trust boundries 总结 2 信任域的划分是安全设计的基础 访问控制系统是安全设计的核心 数据与代码分离是安全设计的表现 白名单与不可预测性是安全设计的保障 Question? Thanks! * style?onreadystatechange=alert(1)/style * Php 6.0 开始已经抛弃safemode , 因为这种黑名单的方式无法有效地防止该问题 * script type=text/javascript !-- 输出到 html 事件中 var y = x\#x27;);alert(1);//; // 同时做了 htmlencode 和 jsencode 都不管用, 都会造成XSS document.write(a onclick=alert(\ + y + \)test\/a); //-- /script * // 同时做了 htmlencode 和 jsencode 都不管用, 都会造成XSS * Data format 可能会改变 data 的内容 * 防止篡改、越权等行为 * 产品表中可能没有数据 Delete from table1 where id=123; Delete from table1 where id=123 and memberID=owner; * 产品表中可能没有数据 Delete from table1 where id=123; Delete from table1 where id=123 and memberID=owner; * 产品表中可能没有数据 Delete from table1 where id=123; Delete from table1 where id=123 and memberID=owner; * 理想主义是每个session为一个个体，数据与其联系起来 Gazelle 浏览器 细分SOP 严格审计任何跨域的访问 – IPC Sandbox 的思想 * Gazelle 的信任关系是 browser instance ? browser kernel ? os ? dns system 案例1： 案例2： iframe挂马，iframe的XSS受到SOP的限制 * 物理隔绝 * * Tips: 先做data format还是先做data validate？ 原则：如果format会改变数据，就必须先做data format * 历史遗留问题 * 历史遗留问题 * Log 的重要性, 好的安全方案一定是可收集log的 WEB应用安全设计思想 Axis Alibaba Security Center 2009.04 从XSS谈起 XSS防御方案的演化 百度空间的XSS富文本过滤 黑名单 QQ Mail XSS富文本过滤 2009-4-9 白名单的思想 抵抗未知攻击 为什么抛弃黑名单 IPS PHP Safemode Google Auto-escape on Template Secure By Default 理解 Secure By Default 白名单是Secure By Default的实现 Default denied URL 302跳转的案例 /redirect?url= 让程序员添加一个个的特例 白名单的弊病 Crossdomain.xml cross-domain-policy allow-access-from domain=*/ /cross-domain-policy Noscript 的先天不足 数据与代码分离的思想 为什么要让数据与代码分离 JSON: {“name”:”axis”, “corp”:”alibaba”} XSLT – XSL , XML , Transform 拼凑， 万恶的“拼凑” 脚本语言中多用拼凑 $sql = SELECT * FROM article WHERE articleid=.$_GET[id].“; 一个案例 CRLF Set-Cookie: name=id\r\nP3P: xxxxxxxxxxxxxx %, ; , = 等字符，对于cookie和HTTP标准来说，都是有定义的字符，如果不做处理，就会将用户输入和语义发生混淆 Javascript的输入输出 错误的用法经常混淆数据和