读书笔记
文章平均质量分 85
读书笔记
j0101_
这个作者很懒,什么都没留下…
展开
-
《Web漏洞防护》读书笔记——第10章,反序列化漏洞防护
《Web漏洞防护》读书笔记——第10章,反序列化漏洞防护序列化、反序列化概念序列化是将对象或数据转换为可以恢复的数据格式的过程。反序列化是将数据格式恢复回对象的过程。目前最流量型的数据序列化方式是JSON,以前是XML。Java的序列化、反序列化概念Java允许在内存中创建和复用Java对象,只要JVM虚拟机一直处于运行状态,就可以对对象进行调用,因此Java对象的生命周期要短于JVM虚拟机的生命周期。如果想要持久化的进行对象的存储,需要将对象序列化再进行保存。使用的时候读取存储的对象的数原创 2021-04-09 16:05:27 · 521 阅读 · 0 评论 -
《Web漏洞防护》读书笔记——第9章,XSS防护
《Web漏洞防护》读书笔记——第7章,XSS防护XSS跨站脚本攻击,注入型攻击,攻击者使用Web应用将恶意代码发送给不同终端用户,造成恶意代码在用户端的执行。由于用户的浏览器无法判断脚本是否应该被新人,人为脚本来自可信的源,直接执行脚本。核心:Web应用直接将用户的输入作为输出,且对输出未进行任何的编码和验证。极易出现XSS的地方1.搜索域:直接将用户的搜索内容不加处理的返回给用户。2.输入域:直接将用户输入的内容不加处理的返回给用户。3.错误信息:直接将用户提供的内容不加处理的防止在错误消原创 2021-04-09 15:15:39 · 309 阅读 · 0 评论 -
《Web漏洞防护》读书笔记——第7章,访问控制防护
《Web漏洞防护》读书笔记——第7章,访问控制防护访问控制的分类1.基于角色的访问控制2.自助访问控制3.强制访问控制4.基于权限的访问控制常见问题1.不安全对象的直接引用:服务端没有验证用户是否有权限访问目标对象,攻击者直接改变参数就能访问到其他对象的信息。最常见的发生情形是,如通过http://abc.com?id=111来获取用户111用户的详情,如果服务端未进行适当的访问控制,则可以遍历ID参数来获取到所有用户的信息。不安全对象的直接引用防护措施:a.不直接引用id为参数,而原创 2021-04-08 18:56:44 · 235 阅读 · 2 评论 -
《Web漏洞防护》读书笔记——第12章,CSRF跨站点请求伪造防护
《Web漏洞防护》读书笔记——第6章,CSRF跨站点请求伪造防护CSRF介绍一种欺骗受害者提交而已请求的攻击行为,会以用户的权限执行恶意操作。站点如果已经完成了相关的认证,则服务端无法区分通过浏览器发来的请求究竟是用户发送的合法请求,还是受欺骗后发送的非法请求。攻击的核心是利用浏览器对于站点的信任。CSRF的分类1.GET型CSRF:构建超链接,发送给用户,引诱用户点击,也可以通过标签的方式构造超链接,让用户点击按钮。如:点我有惊喜哦!< a href=“http://abc.c原创 2021-04-08 17:40:17 · 104 阅读 · 0 评论 -
《Web漏洞防护》读书笔记——第6章,XXE防护
《Web漏洞防护》读书笔记——第6章,XXE防护XXE介绍XXE漏洞是指由于在XML文件中注入了外部实体而造成的攻击。XML介绍:XML是一种用于标记电子文件并使其具有结构性的可扩展标记语言。由以下几个元素所组成:XML声明,DTD(跟在XML声明后,程序既可以在内部声明DTD,也可以引用外部的DTD文件),实体(需要在DTD内进行声明,分为内部声明实体、外部引用实体),根元素(XML文件有且仅有一个根元素,可以自定义根元素),元素(XML文件的主体内容,也可以成为XML代码),注释(使用格式进原创 2021-04-07 14:44:24 · 547 阅读 · 1 评论 -
《Web漏洞防护》读书笔记——第3章,其他注入防护
《Web漏洞防护》读书笔记——第3章,其他注入防护命令注入防护在JAV中,可以使用Runtime.getRuntime().exec()和new ProcessBuilder().start()这两种方式执行系统命令。防护命令注入,遵循的原则:1.尽量不要以直接调用系统命令的方式来完成程序的某些功能,选择程序开发语言本身提供的功能。2.如果必须调用系统命令才能完成某些功能,有限使用固定调用的命令,而非根据用户的输入动态生成的命令。3.如果需要动态生成系统命令,尽量使用白名单的过滤方式,限制系统原创 2021-04-07 14:24:49 · 118 阅读 · 0 评论 -
《Web漏洞防护》读书笔记——第2章,SQL注入防护
《Web漏洞防护》读书笔记——第5章,数据安全SQL注入介绍1.SQL是一种结构化的查询语言,用于与数据库进行交互并能够被数据库解析。2.攻击方式是在客户端的输入数据中插入SQL命令,发送至服务端,服务端对数据进行解析,并执行一些非预期的操作。3.SQL注入攻击能从数据中读取敏感数据、篡改数据库数据、对数据库执行管理员操作、甚至执行系统命令。SQL注入产生具有的两个先决条件1.SQL语句中包含了不可信任的数据,如用户输入等。2.动态构建SQL语句,如将用户的输入的数据直接拼接到了SQL语句中原创 2021-04-06 19:51:52 · 161 阅读 · 0 评论 -
《Web漏洞防护》读书笔记——第5章,数据安全
《Web漏洞防护》读书笔记——第5章,数据安全涉及到数据安全的位置:1.数据交互的过程是最可能产生数据泄露的,如最长使用的Web交互。2.数据的存储,特别是敏感数据的存储,需要进行加密后存储,加密算法的不安全性增加了数据泄露的风险。3.公司内部跨部门数据共享问题,共享不当,造成数据乱用,引发数据泄露。防护1.传输层安全防护:a.使用虚拟专用网络(VPN),如公司间共享数据,员工远程办公。b.使用安全套接字层/传输层安全性(SSL/TLS),针对中间人攻击的防御手段,注意需要安全的部署。SS原创 2021-04-06 11:40:26 · 167 阅读 · 0 评论