运维演讲安全及代码中常见问题防范1509.pptxVIP

乌云安全峰会分享及安全防范;;乌云白帽子大会 2015 · 突破;天地行采购商：/tops-front-purchaser//order/flight/domestic/listOrder 注入口：搜索型 成功注入： ;天地行采购商 存储型XSS漏洞-团队询价 窃取cookie等重要敏感信息： ;天地行采购商 修改订单号查看非授权信息： ;采购商 /tops-front-purchaser/order/flight/domestic/listOrder 通过修改订单号非法取消任意订单： ;新系统酒店：/tops-front-purchaser-hotel/pur/order/hotel/orderView 修改表单提交数据包 产生错误订单金额： ;新系统保险： /tops-front-purchaser//additional/insurance/... 支付环节修改提交数据包 产生错误订单状态 ;业务逻辑漏洞 – 缺少后台检验;短信功能未设置验证码 利用漏洞进行短信轰炸： ;天地行手机API：/login POST /login HTTP/1.1Host: Proxy-Connection: keep-aliveContent-Type: application/json; charset=utf-8Content-Length: 67Connection: close