看着SO上网对我来说已经是一种很大的教育。我想核对针对网站使用的各种漏洞和漏洞的清单，以及可以用来防御这些漏洞的编程技术。

• 闯入服务器
• 闯入他人的登录
• 垃圾邮件
• 玩偶，玩偶
• 等等...
• 什么样的防御编程技术？
• 等等...

解决方案

回答

SQL注入

回答

XSS(跨站点脚本)攻击

回答

显然测试每个字段的漏洞：

• SQL-转义字符串(例如mysql_real_escape_string)
• XSS
• 从输入字段中打印HTML(通常是XSS的好兆头)
• 并非为该字段创建的特定目的的任何其他内容

搜索无限循环(唯一可以间接杀死服务器的间接事物(如果很多人偶然发现的话))。

回答

从开放式Web应用程序安全性项目中：

• OWASP十大漏洞(pdf)
• 有关更详尽的清单：类别：漏洞

前十名是：

• 跨站点脚本(XSS)
• 注入缺陷(SQL注入，脚本注入)
• 恶意文件执行
• 不安全的直接对象参考
• 跨站点伪造请求(XSRF)
• 信息泄漏和错误处理
• 身份验证和会话管理中断
• 不安全的密码存储
• 通信不安全
• 无法限制URL访问

回答

易于监督和易于修复：清理从客户端收到的数据。检查诸如";"之类的东西可以帮助防止恶意代码被注入到应用程序中。

回答

我第二次将OWASP信息作为宝贵资源。以下内容也可能引起注意，尤其是攻击方式：

• CERT十大安全编码实践
• 常见攻击模式枚举和分类
• 攻击方式
• 适用于Linux和Unix的安全编程
• 影响安全性的编码错误分类
• 使用静态分析演示进行安全编程

回答

G'day，

David Wheeler编写的FlawFinder是一个很好的安全性静态分析工具。寻找各种安全漏洞利用非常出色，

但是，这并不能代替让一个知识渊博的人阅读代码。正如David在他的网页上说的那样："使用工具的傻瓜仍然是傻瓜！"

HTH。

干杯，
抢

回答

一些预防技巧：

XSS

• 如果我们从用户那里获取任何参数/输入并计划输出它(无论是在日志中还是在网页中)，请对其进行清理(将类似于HTML，引号，javascript等的内容剥离/转义)如果我们打印了当前的URI，自身内的页面要进行消毒！例如，即使打印PHP_SELF也是不安全的。消毒！反射性XSS主要来自未经过滤的页面参数。
• 如果我们从用户那里获取任何输入并保存或者打印，请在检测到任何危险/无效警告时警告他们，然后重新输入。 IDS易于检测(例如PHPIDS)。然后在存储/打印之前进行消毒。然后，当我们从存储/数据库中打印某些内容时，请再次进行清理！输入-> IDS /清除->存储->清除->输出
• 在开发过程中使用代码扫描器来帮助发现潜在的易受攻击的代码。

X射线荧光光谱仪

• 切勿将GET请求用于破坏性功能，即删除帖子。相反，仅接受POST请求。 GET使黑客变得特别容易。
• 检查引荐来源网址以确保请求来自网站不起作用。欺骗引荐来源并不难。
• 使用随机哈希作为令牌，该令牌必须在每个请求中都存在且有效，并且将在一段时间后过期。将令牌打印在隐藏的表单字段中，并在发布表单时在服务器端检查它。恶意者必须提供正确的令牌才能伪造一个请求，如果他们设法获得了真实的令牌，则必须在令牌过期之前。

SQL注入

• ORM或者db抽象类应具有清除方法-始终使用它们。如果我们不使用ORM或者db抽象类，则应该使用。

回答

我们可以获得良好的firefox插件，以测试来自Security Compass的多个缺陷和漏洞，例如xss和sql注入。不幸的是，它们不能在Firefox 3.0上运行。我希望这些会尽快更新。