网站安全检测和防护培训课件.pptVIP

网站安全检测和防护 ;目录;目录;网站安全形势;网站安全形势;网站安全形势;网站安全存在的突出??题;恶作剧； 关闭Web站点，拒绝正常服务； 篡改Web网页，损害企业名誉； 免费浏览收费内容； 盗窃用户隐私信息，例如Email； 以用户身份登录执行非法操作，从而获取暴利； 以此为跳板攻击企业内网其他系统； 网页挂木马，攻击访问网页的特定用户群； 仿冒系统发布方，诱骗用户执行危险操作，例如用木马替换正常下载文件，要求用户汇款等； ……;目录;统计系统网站情况 ;目录;国家局网站安全检查机制;国家局检查机制（上线前检查）;;扫描结果事例;统计系统网站漏洞分布情况 ;OWASP(开放式Web应用程序安全项目)对注入漏洞的定义;Sql注入; 在网站管理登录页面要求帐号密码认证时，如果攻击者在“UserID”输入框内输入“admin”，在密码框里输入“anything’ or 1=’1’” 提交页面后，查询的SQL语句就变成了：Select from user where username=‘admin’ and password=’anything’ or 1=’1’ 不难看出，由于“1=‘1’”是一个始终成立的条件，判断返回为“真”，密码的限制形同虚设，不管用户的密码是不是Anything，他都可以以admin的身份远程登录，获得后台管理权，在网站上发布任何信息。 ;