開放網路應用安全專案(總結了**中常遇到的十大安全隱患：
常見的sql注入攻擊： **string query = "select * from accounts where custid='" + request.getparameter("id") +"'";
攻擊者輸入如下值，使得sql語句為真
' or '1'='1
最壞情況是黑客可以完全控制資料庫
跨域指令碼攻擊：系統使用不信任的資料作為構成html的**
(string) page += "〈input name='creditcard' type='text『 value='" + request.getparameter("cc") + "'〉";
黑客輸入如下
'〉〈script〉document.location= ''+document.cookie〈/script〉'.
這樣黑客就可以得到使用者的session
scenario #1: session直接暴露在url中
jsessionid=2p0oc2jdpxm0oqsndlpskhcjun2jv
?dest=hawaii
當認證的使用者想讓他的朋友訪問這個**的時候，他的朋友就冒充這個使用者
scenario #2
: 使用者登出設定不對。使用者在公共場合使用電腦，直接關閉瀏覽器，這時黑客就可以重新開啟電腦冒充使用者
scenario #3
: 使用者的密碼沒有加密，公司內部員工可以檢視到
**：string query = "select * from accts where account = ?";
preparedstatement pstmt = connection.preparestatement(query , ... );
pstmt.setstring( 1, request.getparameter("acct"));
resultset results = pstmt.executequery();
黑客可以窮舉acct，找到薄弱的使用者資訊
假冒跨域訪問黑客把如下**加入：
當使用者登陸example.com時這個src裡的**就被執行了
scenario #1: 如果你使用一些framework，但是忘記更新，這時有可能被黑客攻擊
scenario #2
: admin的入口還保留，而且使用預設密碼
scenario #3
: 檔案列表顯示（apache預設）功能沒有關閉
scenario #4
: 系統允許錯誤日誌傳送給使用者，黑客可以利用這個發現漏洞
scenario #1: 雖然系統給輸入資料加密，但是系統自動給輸出的資料解密
scenario #2
: 解密和密碼放在一起
scenario #3
: 使用unsalted hash來儲存密碼
**黑客可以訪問admin頁面
scenario #1: 不使用ssl
scenario #2
: ssl認證錯誤
scenario #3
: 直接使用 odbc/jdbc
scenario #1: redirect到黑客**scenario #2:黑客使用foward去訪問admin頁面
第乙個安全專案
好久沒有寫部落格了，有點忘記了自己是個it。最近技術上沒有太多的成長，工作也算是一波三折。最近經受了乙個安全的小專案，有一些感受。專案的背景是公司出於保密需要，為法務人員精心準備了乙個保密室。出於保密，保密室的玻璃門打了磨砂，外界是看不到裡面的。屋子鑰匙交由專人保管。我的工作主要是配合專業安全人員完...
四步搞定企業安全專案監控和度量文件
url 為了更好地保護資產免受資訊保安風險的威脅，企業需要乙個結合了完善的資訊保安策略和最新技術的安全專案。作為專案核心的安全策略體系先被制定出來後，才開始考慮技術和產品的選擇。安全策略相當於企業安全專案的靈魂，只有在企業管理層全力支援安全策略的制定和實施，且安全策略規定的保護目標明確可行的前提下，...
專案架構網路網路安全
資料安全成為系統考量合格的乙個標準，系統安全性一般情況下包括以下幾點 1 xss dom漏洞，這個漏洞可以使使用者的一些資料丟失，使用的時候謹慎注意過濾一些特殊字元 2 sql注入式攻擊，該漏洞主要是通過編寫一些組合sql指令碼語句導致，處理的方式也就是前後臺都要過濾特殊字元，同時盡量少使用sql拼...