日常测试Web安全常见漏洞修复建议

web安全常见漏洞修复建议

CSRF
1)重要功能增加确认操作或重新认证，例如支付交易、修改手机号码等
2)加验证码
3)每个会话中使用强随机令牌（token）来保护。
4)检验HTTP Referer

SQL注入
1)在服务器端要对所有的输入数据验证有效性。
2)在处理输入之前，验证所有客户端提供的数据，包括所有的参数、URL和HTTP头的内容。
3)验证输入数据的类型、长度和合法的取值范围。
4)使用白名单验证允许的输入字符而不是黑名单。
5)在危险字符输入后进行转义或编码。
6)明确所有输入正确的字符集。
7)不使用动态拼接的SQL语句，如果使用对特殊字符进行转义。
8)设置最小权限运行程序

OS命令注入
1)不仅要在客户端过滤，也要在服务器端过滤。
2)要用最小权限去运行程序，不要给予程序多余的权限，最好只允许在特定的路径下运行，可以通过使用明确运行命令。
3)在程序执行出错时，不要显示与内部实现相关的细节。
4)如果只允许运行有限的命令、使用白名单方式过滤。
5)对于需要运行命令的请求，尽可能减小需要从外部输入的数据。比如：传参数的地方不要传命令行。
6)有下载文件，给文件分配一个ID号来访问文件，拒绝文件名访问。如果需要用文件名，严格检测文件的合法性。

XPath注入
1)在服务器端开始处理用户提交的请求数据之前，对输入的数据进行验证，验证每一个参数的类型、长度和格式。
2)对于系统出现的错误信息，以IE错误编码信息替换，屏蔽系统本身的出错信息，这样可以向攻击者提供更少的信息进行下一步注入攻击。
3)检查是否有特殊字