安全攻击及防范手册..docxVIP

安全攻击及防范手册 版本1.0 2010年8月 概述 简介 当今世界， Internet （因特网 ）已经成为一个非常重要的基础平 台，很多企业都将应用架设在该平台上，为客户提供更为方便、 快捷的服务支持。这些应用在功能和性能上，都在不断的完善和 提高，然而在非常重要的安全性上，却没有得到足够的重视。随 着 WEB 技术应用的范围越来越广泛， WEB 技术相关的安全漏洞越来 越多的被挖掘出来，而针对 WEB 站点的攻击已经成为了最流行的攻 击途径。 不久前项目管理部对公司内外重点系统进行了一次安全隐患分 析测试，并总结出了《公司安全测试问题分类及描述》的报告文档。 本文针对此报告中提到的一些重大安全隐患问题逐一分析， 并给出相 应的解决方案。 参考 资料 《Java安全性编程实例》 《网站系统安全开发手册》 《企业级Java安全性（构建安全的J2EE应用）》 WEB 安全隐患及预防措 施 2.1 会话标识未更 新 2.1.1 描述 登陆过程前后会话标识的比较， 显示它们并未更新， 这表示有可 能伪装用户。 初步得知会话标识值后， 远程攻击者有可能得以充当已 登录的合法用户。 2.1.2 安全级别 高。 2.1.3 安全风险 可能会窃取或操纵客户会话和 cookie,它们可能用于模仿合法用 户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事 务。 2.1.4 解决方案 不要接