Web安全防御(上)
Posted CameloeAnthony
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Web安全防御(上)相关的知识,希望对你有一定的参考价值。
1 文件上传防御
1 文件上传目录设置为不可执行
只要Web容器无法解析该目录下的文件,即使攻击者上传了脚本文件,服务器本身也不会收到影响。很多大型网站的上传应用,文件上传后会放到独立的存储上,做静态文件处理,一方面使用缓存加速,降低性能损耗;另一方面也杜绝了脚本执行的可能。
2 判断文件类型
判断文件类型时,结合使用MIME Type,后缀检查等方式。在文件类型检查中,强烈推荐使用白名单,而不是黑名单的方式。
此外对于图片的处理,使用压缩函数或者resize函数,在处理图片的同时破坏图片中可能包含的html代码。
3 单独设置文件服务器的域名
由于服务器同源策略的关系,一系列客户端攻击将失效,比如上传
crossdomain.xml,上传包含javascript的XSS利用等问题将得到解决。能否如此设置,需要看具体的业务环境。
除此之外,文件上传功能,还要考虑到病毒,木马,色情图片和视频,反动政治文件等与具体业务安全结合更紧密的问题,则需要做的工作就更多了。不断的发现问题,结合业务需求,才能设计出合理的,最安全的上传功能。
2 SQL注入的防御
解决思路:
- 找到所有的SQL注入漏洞
- 修补这些漏洞
1 使用预编语句
防御SQL注入的最佳方式,就是使用预编译语句,绑定变量。
2 使用存储过程
效果与预编语句类似,区别在于存储过程需要先将SQL语句定义在数据库中。也肯呢个存在注入问题,避免在存储过程中,使用动态的SQL语句。
3 检查数据类型
4 使用安全函数
各种Web语言都实现了一些编码函数,可以帮助对抗SQL注入。
5 其他
数据库自身角度来说,应该使用最小权限原则,避免Web应用直接使用root,dbowner等高权限账户直接链接数据库。为每个应用单独分配不同的账户。Web应用使用的数据库账户,不应该有创建自定义函数,操作本地文件的权限。
以上是关于Web安全防御(上)的主要内容,如果未能解决你的问题,请参考以下文章