web技術(shù)與安全分析

2015年第6期信息通信2015(總第150期)INFORMATION & COMMUNICATIONS(Sum. No 150)web技術(shù)與安全分析洪永新(泉州師范學(xué)院,福建泉州362000)摘要:當今世界, Intermet(因特網(wǎng))已經(jīng)成為一個(gè)非常重要的基礎平臺,很多企業(yè)都將應用架設在該平臺上,為客戶(hù)提供更為便捷、有效的服務(wù)支持。這些web2.0在功能和性能上,都在不斷的完善和提高,然而在非常重要的web安全上,卻沒(méi)有得到重視和投入。由于web2.0日趨成熟,黑客們也將注意力從以往對網(wǎng)絡(luò )服務(wù)器的攻擊逐步轉移到了對Web應用的攻擊上。關(guān)鍵詞:web安全;技術(shù)安全分析中圖分類(lèi)號:TM76文獻標識碼:A文章編號: 1673-1131(2015 )06-0137-01從web1.0到web2.0時(shí)代，一個(gè)用戶(hù)參與度于粘度都很高TAB頁(yè)訪(fǎng)問(wèn)網(wǎng)站B;的web時(shí)代,且web2.0又細分出許多不同的領(lǐng)域(微博、旅游、(4)網(wǎng)站B接收到用戶(hù)請求后,返回一些攻擊性代碼,并交友、餐飲、醫療、購物等)各種海量隱私數據可以在這些web2.0發(fā)出-一個(gè)請求要求訪(fǎng)問(wèn)第三方站點(diǎn)A;網(wǎng)站中找到。網(wǎng)站被攻擊時(shí)獲取各種隱私數據或者破壞數據，(5)瀏覽器在接收到這些攻擊性代碼后,根據網(wǎng)站B的請盜取用戶(hù)的個(gè)人資料比如銀行賬戶(hù)信息、個(gè)人郵件數據等。因求，在用戶(hù)不知情的情況下攜帶Cookie信息，向網(wǎng)站A發(fā)出此如何保證網(wǎng)絡(luò )信息安全已成為一個(gè)非常 重要的問(wèn)題。請求。網(wǎng)站A并不知道該請求其實(shí)是由B發(fā)起的，所以會(huì )根據用戶(hù)C的Cookie信息以C的權限處理該請求，導致來(lái)自網(wǎng)1同源策略同源策略是眾多安全策略的一個(gè),是web層面上的策略，站B的惡意代碼被執行。非常重要,如果少了同源策略,就是等于楚漢兩軍沒(méi)了楚河漢3.3 csrf 防御方案(1)檢查HTTP Referer字段是否同域, -般情況下,用戶(hù)界,這樣天下就大亂了。同源策略規定:不同域的客戶(hù)端的腳提交站內請求, Referer中的來(lái)源應該是站內地址。如果發(fā)現本在沒(méi)有明確授權的情下,不能讀取對方的資源。Referer中的地址異常,就可以懷疑遭到了csrf 的攻擊。2跨站腳本攻擊(2)限制Session Cookie的生命周期:比如,用戶(hù)登錄網(wǎng)上(1)跨站腳本是發(fā)生在目標網(wǎng)站中目標用戶(hù)的瀏覽器層面銀行，如果限制10分鐘,超過(guò)10分鐘則自動(dòng)銷(xiāo)毀Cookie.上，當用戶(hù)瀏覽器渲染整個(gè)HTML文檔的過(guò)程中出現了不被(3)使用驗證碼,雖然驗證碼的方式在一般情況下會(huì )降低預期的腳本指令并執行時(shí)，跨站就會(huì )發(fā)生。這句話(huà)的關(guān)鍵點(diǎn)用戶(hù)體驗的感受。但特定情況下,使用驗證碼方式是阻斷csrf有以下三個(gè)。1.目標網(wǎng)站的目標用戶(hù)。2、瀏覽器。3、不被預攻擊的有效手段。期的:那么久很可能是攻擊者在輸入時(shí)提交了可控的腳本內(4)使用一次性token,這是當前csrf攻擊中最流行的解決容，然后在輸出后被瀏覽器解析執行。這個(gè)過(guò)程其實(shí)是包括方案，token是一段字母數字隨機值,這樣攻擊者想要得到這個(gè)token就比較困難，csrf攻擊就無(wú)法成功。xss漏洞挖掘與漏洞利用的，這兩個(gè)同等重要。(2)反射Xss是XSS分類(lèi)中最多的，他們原理是下面這樣:4漏洞挖掘發(fā)現存在反射xss的URL--根據輸 出點(diǎn)的環(huán)境構造XSS4.1請求中的玄機代碼一-進(jìn)行編碼、縮短(可有可無(wú)，是為了增加迷惑性)-探子的目的有兩個(gè): 1、目標參數是否會(huì )現在相應HTML發(fā)送給受害人一-受害打開(kāi)后， 執行XSS代碼一一完成 hacker部分上,如果不出現,就完全沒(méi)必要進(jìn)行后續的payload請求想要的功能(獲取cookies.url、瀏覽器信息、IP等等)。與分析。因為這些payload請求與分析可能進(jìn)行多次，浪費請(3)由于很多地方都可能產(chǎn)生XSS漏洞，而且每個(gè)地方產(chǎn)求資源。2、 目標參數出現在HTML的哪個(gè)部分，從上面的分生漏洞的原因又各有不同,所以對于XSS的防御來(lái)說(shuō)，我們需析我們已經(jīng)知道，不同的HTML部分對待xss的機制是不一要在正確的地方做正確的事情，即根據不可信數據將要被放樣,請求的payload當然也不一樣。置到的地方進(jìn)行相應的編碼，比如放到