WEB安全性测试之拒绝服务攻击

Posted 2021-03-24 成子吃橙子

1，认证

需要登录帐号的角色

2，授权

帐号的角色的操作范围

3，避免未经授权页面直接可以访问

使用绝对url（PS:绝对ur可以通过httpwatch监控每一个请求，获取请求对应的页面），登录后台的每个页面

3，session和cookie

sessioid- cookie欺骗

避免保存敏感信息到cookie文件中（企业内部人事系统，交易系统 等 使用active插件保存）

作用域

 

 

上图作用域为/根目录，会导致不同系统cookie 交叉读取. 

4，DDOS拒绝服务攻击

疯狂地想服务器发请求，损人不利己

(1),肉鸡

(2)攻击联盟

多台终端一起发起攻击服务器，分布式攻击

(3),利用tcp建立连接 三次握手规则 

 

1 C->S  第一次握手时 模拟不存在的ip，消耗服务器连接资源

2 S->C

3 C->S