Web应用安全权威指南笔记

最新推荐文章于 2024-07-05 10:46:13 发布

志_祥

最新推荐文章于 2024-07-05 10:46:13 发布

阅读量2.5k

点赞数

分类专栏：读书笔记文章标签： web应用浏览器漏洞 sql注入安全

本文链接：https://blog.csdn.net/cteng/article/details/40431733

版权

本文摘自《Web应用安全权威指南》，深入探讨了Web应用的安全问题，包括会话管理、XSS、CSRF、SQL注入等。强调了防止跨站脚本、防止恶意重定向、保护用户数据和安全编码的重要性，同时提到了多种防御措施，如设置HttpOnly Cookie、使用安全Token和避免动态生成JS等。

摘要由CSDN通过智能技术生成

Web应用安全权威指南

跳转至：导航、搜索

p41 每次会话认证完成后更改下一次的会话ID
p44 Cookie Monster Bug：应该指定a.co.jp的却指定成co.jp
php.ini：session.cookie_httponly=on（JS不能访问Cookie）
1. 不显示错误信息：display_errors=off
同源策略：外部网页JS无法访问iframe内部的内容
XSS：将外部JS注入到iframe内部执行（不用iframe也可以）
1. XSS本质上是由于缺陷网站没有对用户输入做校验过滤导致的！
2. 属性值用""括起来，并对< & "进行转义
3. PHP htmlspecialchars
JS以外的跨域访问：
1. X-Frame-Options: Deny/SameOrigin;
2. img.src指定其他域名，请求图像时就会附带图像所在主机的Cookie（&#x

关注