Rumah Operasi dan penyelenggaraan Keselamatan 分享几个常见web安全隐患的解决方法

分享几个常见web安全隐患的解决方法

Mar 01, 2021 am 10:44 AM
Penyelesaian

分享几个常见web安全隐患的解决方法

下面是常见的几种web安全问题及解决方案,希望能对大家有所帮助。

1、跨站脚本攻击(Cross Site Scripting)

解决方案

xss之所以会发生,是因为用户输入的数据变成了代码,因此需要对用户输入的数据进行html转义处理,将其中的“尖括号”,“单引号”,“双引号”之类的特殊字符进行转义编码。

2、SQL注入

报错时,尽量使用错误页面覆盖堆栈信息

2b1edb787eeb5f252125d492351972b.png

3、跨站请求伪造(Cross-Site Request Forgery)

解决方案

(1)将cookie设置为HttpOnly

server.xml如下配置

<Context docBase="项目" path="/netcredit" reloadable="false" useHttpOnly="true"/>

web.xml如下配置

4756c16c71fdd11b2148be5945e7779.png

(2)增加token

表单中增加一个隐藏域,提交时将隐藏域提交,服务端验证token。

(3)通过referer识别

根据Http协议,在HTTP头中有一个字段交Referer,它记录了HTTP请求的来源地址。如果攻击者要实施csrf攻击时,必须从其他站点伪造请求,当用户通过其他网站发送请求时,请求的Referer的值是其他网站的网址。因此可以对每个请求验证其Referer值即可。

628cb4c466a415753eaa04b819df026.png

4、文件上传漏洞

在网上经常会操作,上传图片、文件到服务端保存,这时候,如果没有对图片文件做正确的校验,会导致一些恶意攻击者上传病毒,木马,外挂等等到服务器,窃取服务器信息,甚至导致服务器瘫痪。

因此需要对上传的文件进行校验,很多文件起始的几个字节是固定的,因此,根据这几个字节的内容,就可以判断文件的类型,这几个字节也被称作魔数。 

设置类型白名单

相关推荐:web服务器安全

Atas ialah kandungan terperinci 分享几个常见web安全隐患的解决方法. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!

Kenyataan Laman Web ini
Kandungan artikel ini disumbangkan secara sukarela oleh netizen, dan hak cipta adalah milik pengarang asal. Laman web ini tidak memikul tanggungjawab undang-undang yang sepadan. Jika anda menemui sebarang kandungan yang disyaki plagiarisme atau pelanggaran, sila hubungi admin@php.cn

Alat AI Hot

Undress AI Tool

Undress AI Tool

Gambar buka pakaian secara percuma

Undresser.AI Undress

Undresser.AI Undress

Apl berkuasa AI untuk mencipta foto bogel yang realistik

AI Clothes Remover

AI Clothes Remover

Alat AI dalam talian untuk mengeluarkan pakaian daripada foto.

Clothoff.io

Clothoff.io

Penyingkiran pakaian AI

Video Face Swap

Video Face Swap

Tukar muka dalam mana-mana video dengan mudah menggunakan alat tukar muka AI percuma kami!

Artikel Panas

Skop pembolehubah PHP dijelaskan
4 minggu yang lalu By 百草
Petua untuk menulis komen php
4 minggu yang lalu By 百草
Mengulas kod dalam php
4 minggu yang lalu By 百草

Alat panas

Notepad++7.3.1

Notepad++7.3.1

Editor kod yang mudah digunakan dan percuma

SublimeText3 versi Cina

SublimeText3 versi Cina

Versi Cina, sangat mudah digunakan

Hantar Studio 13.0.1

Hantar Studio 13.0.1

Persekitaran pembangunan bersepadu PHP yang berkuasa

Dreamweaver CS6

Dreamweaver CS6

Alat pembangunan web visual

SublimeText3 versi Mac

SublimeText3 versi Mac

Perisian penyuntingan kod peringkat Tuhan (SublimeText3)

Topik panas

Tutorial PHP
1510
276
Gitstatus Analisis mendalam melihat status repositori Gitstatus Analisis mendalam melihat status repositori May 22, 2025 pm 10:54 PM

Perintah Gitstatus digunakan untuk memaparkan status direktori kerja dan kawasan penyimpanan sementara. 1. Ia akan menyemak cawangan semasa, 2. Bandingkan direktori kerja dan kawasan penyimpanan sementara, 3. Bandingkan kawasan penyimpanan sementara dan komit yang terakhir, 4. Periksa fail yang tidak diucapkan untuk membantu pemaju memahami keadaan gudang dan pastikan tidak ada ketinggalan sebelum melakukan.

Langkah terperinci untuk menggunakan laman web Joomla di PHPStudy Langkah terperinci untuk menggunakan laman web Joomla di PHPStudy May 16, 2025 pm 08:00 PM

Langkah -langkah untuk menggunakan laman web Joomla di PHPStudy termasuk: 1) Konfigurasi PHPStudy, pastikan perkhidmatan Apache dan MySQL dijalankan dan periksa keserasian versi PHP; 2) Muat turun dan Decompress Laman Web PHPStudy dari laman web rasmi Joomla ke direktori root phpstudy, dan kemudian lengkapkan pemasangan melalui penyemak imbas mengikut wizard pemasangan; 3) Buat konfigurasi asas, seperti menetapkan nama laman web dan menambah kandungan.

Laman Web rasmi Binance Alamat terkini terus masuk Laman Web rasmi Binance Alamat terkini terus masuk May 20, 2025 pm 05:36 PM

Mengunjungi alamat terkini ke laman web rasmi Binance boleh didapati melalui pertanyaan enjin carian dan ikuti media sosial rasmi. 1) Gunakan enjin carian untuk memasukkan "Laman Web Rasmi Binance" atau "Binance" dan pilih pautan dengan logo rasmi; 2) Ikuti Twitter rasmi Binance, Telegram dan akaun lain untuk melihat jawatan terkini untuk mendapatkan alamat terkini.

Cara melihat maklumat proses di dalam bekas Docker Cara melihat maklumat proses di dalam bekas Docker May 19, 2025 pm 09:06 PM

Terdapat tiga cara untuk melihat maklumat proses di dalam bekas Docker: 1. Gunakan arahan DockerTop untuk menyenaraikan semua proses dalam bekas dan paparan PID, pengguna, arahan dan maklumat lain; 2. Gunakan DockerExec untuk memasukkan bekas, dan kemudian gunakan PS atau Perintah Top untuk melihat maklumat proses terperinci; 3. Gunakan arahan Dockerstats untuk memaparkan penggunaan sumber kontena dalam masa nyata, dan menggabungkan Dockertop untuk memahami sepenuhnya prestasi bekas.

Selesaikan masalah kegagalan penghapusan fail semasa menyahpasang Apache Selesaikan masalah kegagalan penghapusan fail semasa menyahpasang Apache May 16, 2025 pm 10:06 PM

Sebab -sebab kegagalan penghapusan fail semasa Penghapusan Apache termasuk isu kebenaran fail, mengunci fail, dan proses berjalan. Penyelesaian termasuk: 1. Hentikan Perkhidmatan Apache: SudosystemCtLStOppapache2; 2. Secara manual memadam direktori Apache: SUDORM-RF/ETC/APACHE2/USR/SBIN/APACHE2; 3. Gunakan LSOF untuk mencari dan menamatkan proses mengunci fail: Sudolsof | Grepapache2, dan kemudian Sudokill-9; 4. Cuba hapus fail lagi.

Di Firefox, beberapa kesan kecerunan CSS dipaparkan dengan tidak betul. Bagaimana untuk memperbaikinya? Di Firefox, beberapa kesan kecerunan CSS dipaparkan dengan tidak betul. Bagaimana untuk memperbaikinya? May 21, 2025 pm 09:12 PM

Di Firefox, sebab -sebab paparan kecerunan CSS yang tidak betul termasuk versi penyemak imbas yang terlalu rendah, format nilai kecerunan yang salah, dan tetapan arah kecerunan yang tidak wajar. Penyelesaian termasuk: 1. Gunakan sintaks kecerunan CSS3 standard untuk mengelakkan awalan khusus penyemak imbas; 2. Memudahkan kesan kecerunan untuk mengurangkan beban rendering; 3. Kesan kecerunan ujian dalam versi Firefox yang berbeza untuk memastikan keserasian; 4. Gunakan alat generasi kecerunan dalam talian untuk menjana kod dengan keserasian yang lebih baik.

8 Cara Menyelesaikan Masalah Kegagalan Permulaan Perkhidmatan Selepas Pemasangan MySQL selesai. 8 Cara Menyelesaikan Masalah Kegagalan Permulaan Perkhidmatan Selepas Pemasangan MySQL selesai. May 28, 2025 pm 06:30 PM

Sebab-sebab dan penyelesaian untuk perkhidmatan MySQL tidak dapat dimulakan termasuk: 1. Periksa log ralat dan cari maklumat ralat utama, seperti pelabuhan diduduki, dan menamatkan proses yang diduduki melalui perintah Netstat-AO. 2. Betulkan atau ganti fail konfigurasi yang rosak, menggunakan konfigurasi lalai atau contoh rasmi. 3. Pastikan perkhidmatan dijalankan sebagai pengguna dengan kebenaran yang mencukupi dan mengubahsuai akaun log masuk perkhidmatan. 4. Pertimbangkan untuk menaik taraf atau menurunkan versi MySQL, dan pasang versi stabil terkini selepas membuat sandaran data. 5. Periksa tetapan firewall untuk memastikan port MySQL dibenarkan untuk lulus. 6. Semak log kemas kini sistem dan berurusan dengan isu keserasian dengan perpustakaan ketergantungan atau komponen sistem. 7. Pastikan ruang cakera keras yang mencukupi dan elakkan ruang direktori data yang tidak mencukupi. 8. Jika semua kaedah di atas tidak berkesan, dapatkan bantuan profesional, seperti m

Apa yang perlu dilakukan jika telefon epal tidak dapat dihidupkan? Penyelesaian ke telefon epal tidak dapat dihidupkan Apa yang perlu dilakukan jika telefon epal tidak dapat dihidupkan? Penyelesaian ke telefon epal tidak dapat dihidupkan May 29, 2025 pm 08:24 PM

Jika iPhone tidak dapat dihidupkan, anda boleh menyelesaikan kaedah berikut: 1. Paksa Mulakan semula: Untuk model iPhone 8 dan kemudian, dengan cepat tekan dan lepaskan kekunci Volume Up, kemudian tekan dengan cepat dan lepaskan kekunci Down Volume, dan akhirnya tekan dan tahan butang sampingan sehingga anda melihat logo Apple. 2. Periksa tahap bateri: Sambungkan telefon ke pengecas selama sekurang -kurangnya 15 minit, dan kemudian cuba menghidupkannya. 3. Hubungi Perkhidmatan Pelanggan Apple atau pergi ke Pusat Perkhidmatan yang Dibenarkan untuk Pembaikan. 4. Gunakan mod pemulihan: Sambungkan komputer anda, gunakan iTunes atau Finder, tekan dan tahan butang sampingan sehingga logo yang disambungkan ke iTunes muncul, dan pilih "Pulihkan". 5. Periksa kerosakan fizikal: Periksa keretakan, lekukan atau kerosakan lain pada telefon. Jika ya, adalah disyorkan untuk pergi ke pusat penyelenggaraan rawatan secepat mungkin.

See all articles