qq_44795638的博客

原创 web安全实战第二天——攻击机制与防御机制

处理用户访问1.1身份验证1.2会话管理1.3访问控制处理用户输出2.1输出的多样性2.2输入的处理方法2.3 边界确认处理攻击者3.1处理错误3.2维护审计日志3.3发出警报3.4应对攻击前言一、处理用户访问1.身份验证主要是用户加密码的验证方式，攻击者可以利用逻辑缺陷绕过密码或者暴力破解密码，与身份验证有关功能存在非法访问敏感数据的功能。2.会话管理web应用程序会对每一个用户建立会话，并发放令牌，令牌常见方式有隐藏表单字段（hidden form field）或UR