Feel no regret for this life.

WEB应用程序安全加固方案

系统运维 silianpan 46℃ 0评论

识别逻辑漏洞

逻辑漏洞示例

想象一下购物车,其价格在URL中指定,如下例所示:

/shoppingcart/index.php?price=250

如果用户将URL中的价格从250美元更改为30美元会怎样?用户是否可以继续结账,只需支付30美元购买价值250美元的商品?如果是,则这是一个可能严重影响您的业务的逻辑漏洞。
这些类型的漏洞永远无法通过自动化工具识别,因为工具不具备允许它们确定此参数可能对业务运营产生的影响的智能。

保护WEB服务器

  • Web服务器软件(如Apache或IIS)
  • Web服务器操作系统(如Windows或Linux)
  • 数据库服务器(如MySQL或MS SQL)
  • 基于网络的服务管理员更新网站,如FTP或SFTP

关闭不必要功能

网络服务或操作系统具有的功能越多,拥有可利用的入口点的可能性就越大。因此,请关闭并禁用Web应用程序环境未使用的任何功能,服务或守护程序。例如,Web服务器操作系统通常运行SMTP服务。如果您不使用此类服务​​,请将其关闭并确保永久禁用。

限制和完全远程访问

  • 加密任何类型的远程访问(如RDP和SSH)
  • 限制对特定数量的IP地址(办公室IP地址)远程访问

使用具有有限权限的账户

管理员可以拥有不同的帐户来执行不同的任务; 一个专门用于备份的帐户,一个用于通用操作的帐户,例如修剪日志文件,一个帐户,仅用于更改FTP,DNS,SMTP等服务的配置。
通过使用这种方法,您可以限制管理员帐户之一被恶意攻击者劫持时可能造成的损害。

隔离开发,测试和实时环境

隔离数据

不要将非相关信息保存在同一个数据库中,例如客户信用卡号和网站用户活动。使用不同的数据库用户将此类数据存储到不同的数

始终安装安全修补程序

始终使用您正在使用的特定软件的最新版本和最新版本并始终应用供应商的安全补丁是多么重要。通过这样做,您可以确保恶意黑客无法在您使用的软件中查找和利用任何已知的安全漏洞。

监视和审核服务器和日志

日志文件用于记录服务器上发生的所有事情,而不仅仅是消耗无限量的硬盘空间。每个管理员都应该不时分析服务器日志文件。通过这样做,管理员可以发现大量信息,例如服务器上的可疑行为,因此可以更好地保护Web服务器,或者在发生攻击时,可以轻松追溯攻击期间发生的事件和被利用的内容。

使用安全工具

使用网络安全扫描程序和其他相关工具来扫描Web服务器,并确保服务器上运行的所有服务都是安全的。每个管理员的工具箱中都应包含安全工具。

安全使用Cookie

  • 首先,永远不要使用cookie来存储高度敏感或关键的信息。例如,不要使用cookie来记住用户的密码,因为这使得黑客很容易获得未经授权的访问。
  • 设置Cookie到期时间
  • 最后,考虑加密存储在您使用的cookie中的信息。

密码重置

转载请注明:溜爸 » WEB应用程序安全加固方案

喜欢 (0)
发表我的评论
取消评论

表情

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址