白帽子讲安全 的一些记录点
安全三要素:机密性(加密),完整性(数字签名),可用性(DDos攻击)
安全评估:资产等级评估-》威胁分析-》风险分析-》设计安全方案
白帽子兵法:
secure by default:白名单黑名单,
flash : 检测服务器的crossdomain.xml来验证是否允许客户端flash跨域请求
最小权限原则:
纵深防御 Defense in Depth
数据与代码分离原则 缓冲区代码溢出,将用户数据当代码执行
不可预测性原则
浏览器安全:
同源策略
script,img,iframe,link等标签可以跨域加载资源,js不能读写这些标签返回的内容;
XMLHTTPRequest跨域访问标准
浏览器沙箱
挂马 利用浏览器漏洞执行恶意代码 DEP,ASLR,SafeSEH等操作系统保护技术,浏览器多进程架构
恶意网址拦截 挂马网址,钓鱼网址
IE8 XSS filter功能
firefox4:content secuity policy 返回http的访问控制策略
跨站脚本攻击 XSS
反射性XSS:简单的把用户输入反射到浏览器
存储型XSS:把用户输入的数据存储到服务器,
DOM based XSS:
XSS payload
XSS攻击:cookie劫持, httponly解决,cookieIP绑定
XSS钓鱼:
css HISTORY HACK 通过visited来获取用户访问过的链接
获取用户的真实ip地址 利用java Applat
攻击平台:
Attack API
BEFF
XSS-Proxy
XSS Worm 发送站内信,用户留言
XSS攻击技巧:
利用字符编码
绕过长度检测 最常用藏代码的地方:location.hash
base标签 劫持页面所有的相对路径
window.name 共享数据,
apache expect header xss
flash xss 限制flash动态脚本参数allowscriptaccess allownetworking
XSS防御:
HttpOnly:禁止浏览器访问带有httponly的cookie apache TRACE漏洞,把request头作为response返回,从而获得httponly cookie。
XSS FIlter:输入检查
输出检查 HTMLEncode JAVAscriptEncode URLEncode
标签选择尽量使用白名单,不要使用黑名单。
跨站点请求伪造:CSRF
浏览器cookie策略:session cookie|本地cookie session会发送到不同域中,而本地cookie不能跨域发送
P3P header:
CSRF防御
1.验证码
2.referer check 图片盗链 并非什么时候都能渠道referer,https-http
3.anti-csrf-token
足够随机,安全随机数生成token
生成多个有效的token,多页面共存
token曝露,隐藏在表单中,POST方式提交
点击劫持(clickjacking)
透明iframe
flash点击劫持
图片覆盖攻击
拖曳劫持与数据窃取
clickjacking3.0:触屏劫持
防御clickJacking:
frame busting:禁止iframe嵌套 html5的sandbox属性,IE中iframe的security属性都可以禁止iframe脚本执行,绕过frame busting。
x-Frame-options: http头的X-Frame-options
Html5安全:
新标签的XSS Vidio,audio
a, area: linked type noreferer
canvas 破解验证码
跨域资源共享 Access-Control-Allow-Origin Origin
PostMessage window.name
web storage: cookie,flash shared data,IE userData 受同源策略约束
注入攻击:
SQL注入
XML注入
代码注入 eval system
CRLF注入 http头 X-XSS-Protection:0
数据与代码分离
文件上传漏洞
上传web脚本并被执行
设计安全的文件上传功能:文件上传目录不可执行;判断文件类型;使用随机数改写文件名和文件路径;单独设置文件服务器的域名。
认证与会话管理:
Session fixation:session Id登录前后没有变化,在登录完成后,重写sessionID。
Session过期,强制销毁session
访问控制
基于url的访问控制
加密
流密码 Stream cipher attack: RC4,ORYX,SEAL
HMAC
密钥管理,定时更新
使用安全的随机函数 java.security.SecureRandom
web框架安全
strust2 script标签过滤xss漏洞
应用层拒绝服务攻击
DDOS攻击:SYN flood,UDP flood,ICMP flood
SYN flood:SYN cookie,SYN proxy,safereset
应用层DDOS
限制客户端的访问频率
资源耗尽攻击
HTTP POST DOS
Server Limit DOS
ReDos 正则表达式引发的血案
PHP安全
文件包含漏洞
远程文件包含
全局变量覆盖
Web Server配置安全
apache安全:减少不需要的modules,专门用户运行apache,保护apache log
nginx:
JBOSS远程命令执行
Tomcat远程命令执行
Http Parameter POLLution
互联网业务安全
DO-NOT-TRACK
安全开发流程