RexHa的博客

严格来说，文件包含就是代码注入的一种。代码注入，其原理就是注入一段用户能控制的脚本或代码并让服务器端执行。代码注入的典型代表就是文件包含。文件包含可能会出现在JSP、PHP、ASP等语言中，常见函数如下：PHP：include()、include_once()、require()、require_once()、fopen()、readfile()……JSP/Servlet：ava.io.File()、java.io.FileReader()……

DDOS又称分布式拒绝服务（Distributed Denial of Service）。DDOS本是利用合理的请求造成资源过载，导致服务不可用。分布式拒绝服务攻击，将正常请求放大了若干倍，通过若干个网络节点同时发起攻击，以达成规模效应。这些网络节点往往是黑客们所控制的“肉鸡”，数量达到一定规模后，就形成了一个僵尸网络。常见的DDOS攻击有SYN flood、UDP flood、ICMP flood等。

系统只验证了能访问数据的角色，既没有对角色内的用户做细分，也没有对数据的子集做细分，因此缺乏一个用户到数据之间的对应关系。在RBAC这种“基于角色的访问控制”的模型下，系统只会验证用户A是否属于角色RoleX，而不会判断用户A是否只能访问只属于用户B的数据DataB，因此，发生了越权访问，这种问题我们就称为“水平权限管理问题”RBAC事先在系统中定义出不同的角色，不同角色有不同权限，一个用户可能拥有多个角色，角色之间有高低之分，在系统验证权限时，只需要验证用户所属的角色，再根据角色的权限进行授权。

在Web开发中，网站访问量如果比较大，维护Session可能会给网站带来巨大负担。因此，有一种做法，就是服务器端不维护Session，把Session放在Cookie中加密保存。当浏览器访问网站时，会自动带上Cookie，服务器端只需要解密Cookie即可得到当前用户的Session。

目录1. 文件上传漏洞概述1.1 FCKEditor文件上传漏洞1.2 绕过文件上传检查功能2. 功能还是漏洞2.1 Apache文件解析2.2 IIS文件解析2.3　PHP　CGI路径解析2.4　利用上传文件钓鱼 3.　设计安全的文件上传功能文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务端命令的能力。应用：例如上传一张图片、分享一段视频、论坛发帖时附带附件、发邮件时附带附件……文件上传后导致的安全问题一般有：FCKEditor是一款非常流行的富文本编辑器，其上传文件的功能能

《白帽子讲Web安全》详解注入攻击

HTML５是互联网未来的大势所趋，随着越来越多的浏览器支持HTML５，攻击面也发生了新的变化。攻击者可以利用HTML５中的一些特性，绕过防御方案，达到攻击目的。

点击劫持是一种视觉上的欺骗手段。攻击者用一个透明的、不可见的iframe，覆盖在一个网页上，诱使用户在该网页上进行操作，使用户在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以使用户恰好点击在iframe的一些功能性按钮上。通俗的讲，就是你在点击一个“网页”的某个位置时，很可能是点击了隐藏在页面下的某个按钮，从而达到了黑客的某些目的，这对用户来说是不可见的。相对于XSS和CSRF，需要与用户进行交互，实施攻击的成本较高，在网络犯罪中比较少见。

大多数CSRF攻击发起时，使用的HTML标签都是、、等带src属性的标签，这类标签只能发起一次Get请求而不能发起Post请求，而对于很多网站的应用来说，一些重要操作未严格区分GET和POST，攻击者可以使用GET来请求表单的提交地址。黑客伪造一个假的页面，当用户访问该页面后，黑客就会利用你的身份向第三方站点发送一个恶意请求，从而达到某些目的，例如以你的名义发送邮件、发消息，将你卡里的钱转走，删除某篇博客文章等等。如果用户提交了表单，则应重新生成一个Token。

跨站脚本攻击（XSS），通常指黑客通过HTML注入在网页中插入了恶意脚本，在用户浏览网页时，控制用户浏览器的一种攻击。XSS可以分为以下几类：1、反射型XSS又叫非持久型XSS，黑客需要诱导用户“点击”一个恶意链接，才能攻击成功。2、存储型XSS又叫持久型XSS，恶意代码存储在服务器中，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，每当有用户访问该页面的时候都会触发代码执行。从效果上来说也属于反射型XSS，是通过修改页面的DOM节点形成的XSS。