web安全开发.pptx

Web安全开发 分享说明 不是在讲应用软件安全开发生命周期-阶段活动 从Web功能角度讨论安全开发 以Web应用功能为测试单元的渗透测试 与业务流程分析相结合的渗透测试 应用测试全面性 工作量评估 业务逻辑测试 新亮点 扩展 扩展 适合人群： Penetration：★★★★★ ADSL： ★★ Code audit：★★★ 1 Web应用受攻击面分析 2 Web安全开发 目录 3 Web常见漏洞指纹 多用留言系统功能模块 需要一张功能路径图 从功能上能看到什么？ 导出安全需求 Web受攻击面分析 了解可能面临哪些威胁才能有针对性地安全开发 S--spoofing T--tampering R--repudiation I--information disc D--dos E--elevation pri 尽量采用通用性功能描述 发帖子 输入点与信任级别 输入点与信任级别 实体-过程-数据存储-数据流 1 Web应用受攻击面分析 2 Web安全开发 目录 3 Web常见漏洞指纹 Web安全开发 开发技巧 安全开发-用户注册 5、表单转义-所有写入数据库的数据（PHP） function _mysql_string($_string) { //get_magic_quotes_gpc()如果开启状态，那么就不需要转义,GPC= get_magic_quotes_gpc()（有个别-$_SERVER） if (!GPC) { return mysql_real_escape_string($_string); } return $_string; 1、去掉两边的空格 $_string = trim( $_string ); 2、长度限制 if (mb_strlen( $_string , utf-8 ) $_min_num || mb_strlen( $_string 3、敏感字符限制 $_char_pattern = /[\\\ \ ]/ ; if (preg_match( $_char_pattern , $_string )) { } 4、敏感用户名限制 $_mg [ 0 ] = ‘ 李洪志 ; $_mg [ 1 ] = ‘ 十八大 ; $_mg [ 2 ] = ‘ 管理员 ; foreach ( $_mg as $value ) { $_mg_string .= [ . $value . ] . \n ;} if (in_array( $_string , $_mg )) { _alert_back( $_mg_string . 以上敏感用户名不得注册！ );} 前端OR后端，还是前端AND后端 If(!defined(‘TAG’)){ Exit(‘Access Denied!’); } define ( ‘TAG , true ); 安全开发-恶意调用 网站文件直接被其他网站调用 页面1 页面2（被调用页面） 调用 安全开发-验证码 1、验证码要保存在服务器（如：session） 2、验证码不要存在客户端-每次攻击前先读取本地验证码绕过后端验证 3、验证码带来服务器CPU、内存额外开销，关键表单提交时使用 安全开发-唯一标识符 1、创建：$_SESSION[uniqid] = $_uniqid = sha1(uniqid(rand(),true); 2、原理：唯一标示符-S端生成发给C端，C返回给S比较，防止CSRF攻击，表单伪造，COOKIE伪造和用户激活处理 form method=post name= action=register.php?action=register input type=hidden name=uniqid value=?php echo $_uniqid ? / 安全开发-生成COOKIE SSO Cookie名称：verifycode Cookie取值：如下： Cookie有效期：一年 为实现SSO 1、名称过于直白 2、取值具有可猜测性 3、有效期过程-会话结束后失效 4、尽在HTTPS协议下传输 5、只有http协议才能访问cookie，本地脚本不允许-trace方法 bool setcookie ( string $name [, string $value [, int $expire = 0 [, string $path [, string $domain [, bool $secure = false [, bool $httponly = false ]]]]]] ) 安全开发-容错处理 function _query($_sql) { if (!$_result = mysql_qu