Web服务器的安全和攻击防范(9)

作者佚名技术来源服务器技术浏览发布时间 2012-07-06

伪造Web请求（三）

　　另外一种常见的错误是把内部应用的状态数据通过< INPUT TYPE="HIDDEN" >标记从一个页面传递到另一个页面。把内部应用的状态放到信任界限之外就如把应用的心脏挖出来放到了攻击者的面前。对于如此缺乏安全保障的应用，任何想要摧毁它的攻击者都可以轻易地引导该应用并得到任何想要的效果。应用的状态应该通过会话变量保存在服务器上，永远不应该跨越信任界限。所有的Web应用开发平台都有这种机制。例如在PHP3中，PHPLIB可用于保存会话数据，PHP4使用的是session_*()调用，ASP提供Session对象，Cold Fusion提供几种不同的会话变量。

　　Web应用不应该把任何来自信任界线之外的数据直接保存为会话变量：会话变量是可信任的变量，不应该用来保存不可信任的数据。通常，来自外面的数据（比如表单变量的数据）应该先传入检验其合法性的函数。只有当检验函数表示表单提供的数据是安全的，才可以把表单数据复制到会话变量。Web应用应该把这种检查集中到一起进行，应用的所有其余部分永远不应该直接接触表单变量，而是应该使用经过检查且确认安全的会话数据。

　　参考：

http://www.koehntopp.de/kris/artikel/webtune/
"Webserver verstehen und tunen" (德语)
http://www.koehntopp.de/php/
"de.comp.lang.php - H‰ufig gestellte Fragen" (德语)
http://www.insecure.org/nmap/
"NMAP Port Scanner" (英语)
http://ethereal.zing.org/
"Ethereal Network Monitor" (英语)
http://www.marko.net/cheops
"Ceops Network Mapper" (英语)
http://freshmeat.net/appindex/1998/04/06/891857252.html
"lsof - list open files" (英语)

"TCP/IP Illustrated, Volume 1: The Protocols" (英语)
W. Richard Stevens
Addison-Wesley

"Hacking Exposed - Network Security Secrets & Solutions" (英语)
McClure, Scambray and Kurtz

"Maximum Linux Security" (英语)
Anonymous
http://phplib.netuse.de/
"A library for PHP application development" (英语)

关键词：

凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!

分享到：更多

你可能对下面的文章感兴趣

上一篇: 面向对象的Web 服务器Zope (2)下一篇: Web服务器的安全和攻击防范(4)

关于Web服务器的安全和攻击防范(9)的所有评论

随机推荐