51Testing软件测试论坛

标题: Web安全的维护 [打印本页]

作者: always_fly 时间: 2018-3-6 15:43
标题: Web安全的维护
Web安全技术攻防手段：

一、跨站脚本攻击------xss攻击

原因：发生的原因是网站将用户输入的内容输出到页面上，在这个过程中可能有恶意代码被浏览
器执行。

1.反射型xss:

它是通过诱使用户打开一个恶意链接，服务端将链接中参数的恶意代码渲染到页面中，再传递给
用户由浏览器执行，从而达到攻击的目的。

2.持久型xss

持久型XSS将恶意代码提交给服务器，并且存储在服务器端，当用户访问相关内容时再渲染到页
面中，以达到攻击的目的，它的危害更大。

3.Cookie劫持

Cookie中一般保存了当前用户的登录凭证，如果可以得到，往往意味着可直接进入用户帐户，
而Cookie劫持也是最常见的XSS攻击（反射）

防御Cookie劫持的一个简单的方法是在Set-Cookie时加上HttpOnly标识，浏览器禁止JavaScript
访问带HttpOnly属性的Cookie

X-SS的预防：

1.输入检查

对数据格式做检查比如邮箱格式等等........

2.输出检查

对渲染到HTML中内容执行HtmlEncode，对渲染到JavaScript中的内容执行JavascriptEncode。

二、SQL注入

三、跨站请求伪造（CSRF）

操作所需的所有参数都能被攻击者得到，进而构造出一个伪造的请求，在用户不知情的情况下
被执行

防御：1、验证码检查

2、referer检查

四、点击劫持

点击劫持是从视觉上欺骗用户。攻击者使用一个透明的iframe覆盖在一个网页上，诱使用户
在该网页上操作，而实际点击却是点在透明的iframe页面。

作者: 嘻嘻嘻果冻 时间: 2018-3-7 11:11

作者: 梦想家 时间: 2018-3-14 14:03
谢谢分享

欢迎光临 51Testing软件测试论坛 (http://bbs.51testing.com/)