随笔分类 - web安全
摘要：随着Web2.0、社交网络、微博等等一系列新型的互联网产品的诞生，基于Web环境的互联网应用越来越广泛，企业信息化的过程中各种应用都架设在Web平台上，Web业务的迅速发展也引起黑客们的强烈关注，接踵而至的就是Web安全威胁的凸显。 黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到W
阅读全文
摘要：一、认证与会话管理 认证：简而言之就是通过一定的凭证认出用户是谁。认证过程中按凭证数量可简单分为 ‘单因素认证’、‘双因素认证’或多因素认证。一般来说，多因素认证强度更高，但是用户体验上会比单因素认证麻烦些。 1、单因素认证（密码认证） 密码是最常见的认证手段，持有正确密码的人被认为是可信的。其优势
阅读全文
摘要：1、简述 文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务端命令的能力。这种攻击方式是最直接和有效的，而且互联网中我们经常会用到文件上传功能，它本身是没有问题的，正常的业务需求，可是文件上传后服务器如果不能安全有效的处理或解释文件，往往会造成严重的后果。 常见的安全问题
阅读全文
摘要：注入攻击是web领域最为常见的攻击方式，其本质是把用户输入的数据当做代码执行，主要原因是违背了数据与代码分离原则，其发生的两个条件：用户可以控制数据输入；代码拼接了用户输入的数据，把数据当做代码执行了。 下面是几种常见注入攻击及其防御方法： SQL注入及常见攻击技巧 经典注入 如： 正常情况下用户输
阅读全文
摘要：SSL证书及HTTPS协议 SSL 证书是一种数字证书，它使用 Secure Socket Layer 协议在浏览器和 Web 服务器之间建立一条安全通道，从而实现：1、数据信息在客户端和服务器之间的加密传输，保证双方传递信息的安全性，不可被第三方窃听；2、用户可以通过服务器证书验证他所访问的网站是
阅读全文
