Atitit 登录模块常见的安全措施条例与攻击行为表 目录 1. 安全目标 1 2. 常见安全措施 2 2.1. 修改密码需要验证员密码 2 2.2. 密码Salt加盐机制 2 2.3. Sql防注

Atitit 登录模块常见的安全措施条例与攻击行为表

 

目录

1. 安全目标 1

2. 常见安全措施 2

2.1. 修改密码需要验证员密码 2

2.2. 密码Salt加盐机制 2

2.3. Sql防注入 2

2.4. 弱口令 防爆次数限制  2

2.5. 钓鱼输入各种账号密码信息 2

2.6. 不同权限用户(商户 管理员）隔离开ui与数据库 2

2.7. 权限标识等重要放入mrz区效验 2

2.8. Cookie加密mrz区 2

3. 常见攻击行为 3

3.1. 非法获取密码和权限 3

3.2. 暴力破解 3

3.3. 彩红标攻击 3

3.4. Sql注入 3

3.5. 拖库攻击 破解出用户的密码 3

3.6. 伪造登录请求 3

3.7. 劫持了用户的请求数据 3

4. 来源相关规范 3

4.1. Atitit 登录账号管理法passport v4 3

4.2. Atitit 安全登录退出管理法v3 tbb.docx 4

4.3. Atitit 信息系统安全法v3 非法攻击行为 列表 4

 

 

1. 安全目标

 

说具体一些，我们理想中的绝对安全的系统大概是这样的：

1. 首先保障数据很难被拖库。
2. 即使数据被拖库，攻击者也无法从中破解出用户的密码。
3. 即使数据被拖库，攻击者也无法伪造登录请求通过验证。
4. 即使数据被拖库，攻击者劫持了用户的请求数据，也无法破解出用户的密码

1. 常见安全措施
   1. 修改密码需要验证员密码

 

1. 1. 密码Salt加盐机制
   2. Sql防注入
   3. 弱口令 防爆次数限制
   4. 钓鱼输入各种账号密码信息
   5. 不同权限用户(商户 管理员）隔离开ui与数据库
   6. 权限标识等重要放入mrz区效验
   7. Cookie加密mrz区

非mrz区用来调试与人工识别

1. 常见攻击行为
   1. 非法获取密码和权限
   2. 暴力破解
   3. 彩红标攻击
   4. Sql注入
   5. 拖库攻击 破解出用户的密码
   6. 伪造登录请求
   7. 劫持了用户的请求数据
2. 来源相关规范

 

 

1. 1. Atitit 登录账号管理法passport v4

 

目录

1. 总则 2

1.1. 身份分类登录账号 管理员 操作人员  普通用户 2

1.2. 安全考虑，必须单独分开的账号储存表，使用不同等加密技术与秘钥 2

1.3. 第三条 登录账号登记的项目包括：acc登录账号，密码（加密存储），密码签名，acctype账号类型（uname，eml，手机），姓名、出生日期、住址、身份号码、本人相片、 有效期和签发机关。Id编码 2

1.4. 登录账号Id编码号码是每个用户唯一的、终身不变的身份代码，由 机关按照用户身份号码标准编制 2

2. 第二章 申领和发放 2

3. 第三章 使用和查验 5 2

3.1. 查验时机 2

3.2. 查验条目 3

3.3. 查验防篡改状态（账户名 密码签名等）salt机制。。 3

3.4. 黑名单（冻结名单）检查 3

3.5. 账号注销状态 3

4. 系统常用登录账号法 uname 手机号email 3

4.1. Exampl 3

5. Ref 4

 

 

1. 1. Atitit 安全登录退出管理法v3 tbb.docx

 

 

目录

1.1. 未持有效出入边界票据。。校验票据有效性 1

1.2. 从事与票据种类不符的活动的 2

1.3. 数据为数字的应该校验数字 2

2. 第三章 使用和查验 5 2

2.1. 黑名单（冻结名单）检查 2

3. 登录票据法visa 2

3.1. 1. 总则 1 2

3.2. 1.1. 身份分类 管理员 操作人员  普通用户 1 2

3.3. 1.2. 第十七条 票据的登记项目包括：种类，持有人姓名、使用次数、有效期、，签发日期、地点（ip+浏览器id），其他证件号码（登录账户，用户名，手机号码）等。 1 2

3.4. 1.3. 黑名单（冻结名单）检查 1 2

3.5. 2. 第二章 申领和发放 4 2 2

3.6. 3. 第三章 使用和查验 5 2 2

3.7. 3.1. 票据作废 2 2

4. 系统常用票据法 cookie session token 3

5. Php设置登录票据cookie法 3

6. Ref出境入境管理法100条 4

 

1. 1. Atitit 信息系统安全法v3 非法攻击行为 列表

 

 

常见 Web 安全攻防总结 - zoumiaojiang.html