web开发安全技术培训教程_20110809.ppt

/person.do?xcase=updateEmailcoreLogonInfo.emailAddress=flyh4t%40126.comcoreLogonInfo.bakEmailAddress=_coreLogonInfo.bakEnableFlag=on 然后可以找回密码 这个地方比较悲剧,密码好像明文存储的 * * * * * * * * Java int 32 位数 * 随着简单 XML API、Web 服务和 Rich Internet Applications (RIAs) 的发展，更多组织几乎在所有方面（从配置文件到远程过程调用）都采用 XML 作为数据格式。一些人已经使用 XML 文档代替更传统的纯文本文件或关系数据库，但是与任何其他允许外部用户提交数据的应用程序或技术相似，XML 应用程序可能容易受到代码注入的攻击，尤其是 XPath 注入攻击 * * * * * * * * * * * * * * * * * * 大多数企业内部都是逆向的过程，绿盟也是如此，企业是否实施SDL，开发团队的安全能力非常重要，这是一个团队打造的过程 逆向是成本最低的过程，避免了直接上代码审计，由于海量需要人工定性的安全问题而加大成本 * 用户身份认证的强度设计可以采用以下几种方式，应根据应用的重要程度合理使用认证方式。 用户名、口令认证； 一次性口令、动态口令认证； 证书认证； 对高价值交易和进入保护区域的用户需要进行重新认证(比如修改个人口令等操作)。 认证失败后的处理方式设计 连续失败登录后锁定账号。账号锁定后可以由系统管理员解锁，也可以在一段时间后自动解锁。 通知用户认证失败，但不应区分是账号错误还是口令错误，否则可能被利用于猜测系统账号。 使用强口令策略 应用软件需要检查用户设定的口令是否符合口令管理规则，要求输入至少8位字符，其中要包含大写字母、小写字母、数字和特殊字符四种中的三种。 在使用短信口令的程序中，需设定短信有效时间应不超过15分钟，请求间隔不少于60秒。 对于高权限用户（比如管理员账号），应该设定口令定期修改的周期，根据实际应用的情况，可选择三个月强制修改口令。 使用图片验证码 图片验证码应当能抵抗自动识别，但不影响普通用户的正常识别，应实现为长度至少4位的随机串，且使用扭曲、噪点干扰、字体变换、大小变换、位置变换等防自动识别的一种或者多种方法。 敏感信息加密处理 涉及到用户名、口令、数据库口令等敏感信息，在通信和保存时，需采用通用的加密算法进行加密处理。 使用加密通信通道，以保护身份认证令牌，例如：使用https协议来传递表单数据。 * 限制普通用户对系统级资源的访问； 系统级资源包括文件、文件夹、注册表项、数据库对象、事件日志等，不同的用户角色只允许访问特定的资源。 应用软件启动权限最小化 应用软件使用的系统账号（运行环境中的）应该有尽可能低的权限。避免使用“Administrator”、“root”、“sa”或其它特权用户来运行应用程序。 敏感功能IP地址控制 敏感的功能（例如后台管理）应采用黑名单或白名单方式对访问的来源IP地址进行限制，防止非法IP的接入以及地址欺骗。 尽量采用统一的访问控制机制 集中统一的访问控制机制可确保控制规则的一致性。此外还能减少开发的工作量，且有助于后期的维护工作。 资源请求数量限制 B/S、C/S结构的应用程序，需要在服务器端限制客户端的最大请求数目，避免客户端无限制的大量使用资源。 在服务器端实现访问控制 B/S、C/S结构的应用程序，应在服务器端实现对系统内受限资源的访问控制，禁止仅在客户端实现访问控制。 * 限制会话寿命 缩短会话寿命可以降低会话劫持和重复攻击的风险。会话寿命越短，攻击者捕获会话ID并利用它访问应用程序的时间越有限。 确保会话的安全创建 在同一登录过程中，当某用户认证成功后，应为此用户创建新的会话并释放原有会话，创建的会话凭证应满足随机性和长度要求，避免被攻击者猜测。 确保会话数据的存储安全 用户登录成功后所生成的会话数据应存储在服务器端，并确保会话数据不能被非法访问，当更新会话数据时，应对数据进行严格的输入验证，避免会话数据被非法篡改。 确保会话的安全终止 当用户登录成功并成功创建会话后，应在应用系统的各个界面提供用户登出功能，登出时应及时注销服务器端的会话数据。 在B/S结构的应用程序中，当处于登录状态的用户直接关闭浏览器时，提示用户执行安全登出或者自动为用户完成登出过程，确保本次会话的安全终止。 WEB页面应避免跨站请求伪造 在涉及到关键业务操作的WEB页面，应采用认证码或随机令牌来防范跨站请求伪造。 WEB系统确保会话凭证的安全 如果WEB系统采用持久性COOKIE携带会话凭证，必须合理设置COOKIE的Secure、Doma