程序员常见的WEB安全漏洞.pptVIP

程序员常见的 WEB 安全漏洞 点苍淘宝 - 新业务 2019-08-30 0. 大纲 1. 引子 不安全的淘宝，一直被紧盯，经常被攻击 ? 影响力 – 宕机、篡改页面 ? 交易 – 盗取银行账号、钓鱼攻击 ? 用户 – 登录密码以及 cookie/refer/ip 隐私 2.SQL 注入 – 简介 SQL 注入攻击也俗称黑客的填空游戏 ? 定义：攻击者提交恶意 SQL 并得到执行 ? 本质：由于输入检验不充分，导致非法数据被当 做 SQL 来执行 ? 特点： – 很常见，使用数据库的应用多如牛毛 – 多见于小 PHP 站，采用字符串拼 SQL 的应用 – 直接攻击服务器 2.SQL 注入 – 危害 ? 字符串填空 – 绕过登录鉴权 select * from user where name=‘ or ‘1=‘1 and pw=‘ or ‘1=‘1 ? 执行任意 SQL ， 利用注释 ， select * from item whre item=‘ ;your sql -- 或整型字段 ， select * from item where item_id= 0;your sql; – 篡改系统账号 alter login sa with password=‘123456 – 用户隐私外泄 select * from user – 系统细节外泄 select * from