WEB应用程序安全加固方案

识别逻辑漏洞

逻辑漏洞示例

想象一下购物车，其价格在URL中指定，如下例所示：

/shoppingcart/index.php?price=250

如果用户将URL中的价格从250美元更改为30美元会怎样？用户是否可以继续结账，只需支付30美元购买价值250美元的商品？如果是，则这是一个可能严重影响您的业务的逻辑漏洞。
这些类型的漏洞永远无法通过自动化工具识别，因为工具不具备允许它们确定此参数可能对业务运营产生的影响的智能。

网络服务或操作系统具有的功能越多，拥有可利用的入口点的可能性就越大。因此，请关闭并禁用Web应用程序环境未使用的任何功能，服务或守护程序。例如，Web服务器操作系统通常运行SMTP服务。如果您不使用此类服务，请将其关闭并确保永久禁用。

管理员可以拥有不同的帐户来执行不同的任务; 一个专门用于备份的帐户，一个用于通用操作的帐户，例如修剪日志文件，一个帐户，仅用于更改FTP，DNS，SMTP等服务的配置。
通过使用这种方法，您可以限制管理员帐户之一被恶意攻击者劫持时可能造成的损害。

不要将非相关信息保存在同一个数据库中，例如客户信用卡号和网站用户活动。使用不同的数据库用户将此类数据存储到不同的数

始终使用您正在使用的特定软件的最新版本和最新版本并始终应用供应商的安全补丁是多么重要。通过这样做，您可以确保恶意黑客无法在您使用的软件中查找和利用任何已知的安全漏洞。

日志文件用于记录服务器上发生的所有事情，而不仅仅是消耗无限量的硬盘空间。每个管理员都应该不时分析服务器日志文件。通过这样做，管理员可以发现大量信息，例如服务器上的可疑行为，因此可以更好地保护Web服务器，或者在发生攻击时，可以轻松追溯攻击期间发生的事件和被利用的内容。

使用网络安全扫描程序和其他相关工具来扫描Web服务器，并确保服务器上运行的所有服务都是安全的。每个管理员的工具箱中都应包含安全工具。