互联网系统安全开发指南

10互联网系统安全开发指南20233名目TOC\o“1-1“\h\z\u\l“_TOC_250002“1. 跨站脚本防护.................................................... 3\l“_TOC_250001“2. 防止内部IP地址泄露............................................. 3\l“_TOC_250000“3. 防止个人身份信息篡改............................................ 44. 防止SQL注入漏洞................................................ 45. 防止数据库权限过高.............................................. 56. 防止CMS版本泄漏................................................ 57. 防止整站代码泄漏................................................ 58. 防止后台治理验证码失效.......................................... 69. 制止名目扫瞄.................................................... 610. 去除无关网站内容.............................................. 811. 框架钓鱼防护.................................................. 912. 报头协议追踪.............................................. 913. 避开上传应用程序测试脚本...................................... 1114. URL重定向防护................................................ 1215. 治理页面访问防护............................................. 1216. 严格过滤用户输入............................................. 1317. 敏感信息处理防护............................................. 1418. 错误信息处理................................................. 1419. 名目权限治理................................................. 14保满足以下要求。跨站脚本防护CrossSiteScriptExecutionXSS)是指攻击者HTML病毒侵害的一种攻击方式。防护指南：input，output严格的过滤并进展并使用正确的编码，而不是简洁的过滤一些常见的CSS攻击是相当敏捷的；用黑名单。过滤内容：过滤”<”、”>”将用户输入放入引号间，根本实现数据与代码隔离；过滤双引号，防止用户跨越许可的标记，添加自定义标记；过滤TAB和空格，防止关键字被拆分；script过滤&#防止HTML属性绕过检查。IP地址泄露Web成安全隐患。防护指南：份文件等；开发人员在开发时，使用注释泄露了内部信息，删除即可。开发人员在以后的开发过程当中，肯定要留意在公布页面时，检查件，开发测试时候的备份文件等。防止个人身份信息篡改POSTIDPOST防护指南：对用户提交的字段加上权限限制，防止攻击者修改数据后提交。SQLSQLSQL防护指南：最小权限原则。特别是不要用dbosa作或者组建使用不同的账户，最小权限原则适用于全部与安全有关的场合；对用户输入进展检查。对一些特别字符，比方单引号，双引号，分serverclientsqsql语句，比方可以利用parameters对象，避开用字符串直接拼sq命令；错误信息常常会透露一些数据库设计的细节。防止数据库权限过高一旦脚本代码存在风险，即可通过执行SQL语句读取效劳器硬盘全部内容、进展写操作、提升为系统权限进展进一步渗透等风险。防护指南：最小权限原则。特别是不要用dbosa作或者组建使用不同的账户，最小权限原则适用于全部与安全有关的场合；SA1MsSQLPublicSACMS由于未对原始CMS版本进展有效屏蔽，导致恳求某些模块时可返回真实CMSCMSCMS次漏洞被开掘后可进展针对性的利用。防护指南：站点在公布时可以对代码进展修改或者删除原版本信息。防止整站代码泄漏造成的安全隐患。防护指南:开发人员在开发时，使用注释泄露了内部信息，删除即可；开发人员在以后的开发过程当中，肯定要留意在公布页面时，检查件，开发测试时候的备份文件等。防止后台治理验证码失效后台登陆页面可以让一般用户访问，并且验证码未生效，始终显示“1234”可导致攻击者使用密码破解工具进展尝试。防护指南：证码相关程序，使其生效。制止名目扫瞄会给恶意入侵者收集效劳器信息，进一步入侵效劳器带来时机。防护指南：IIS翻开IIS治理器，网站属性，选主名目，把其中的名目扫瞄前面的勾去掉；SunOne/iPlanetWebServer配臵：翻开治理掌握台，选上面的标签：VirtualServerClass。Classdefaultclass。然Preferences。在配臵界面的DirectoryIndexingnone。Filetouseforerrorresponsewhenindexingisnone后面可以填默认页面名称。假设访问403WebLogicWebLogicMyDomain-->Deployments-->Web Applications-->DefaultWebApp，在右边的工作区选择Configuration-->Files，将Index Directories勾去掉就是制止webappWebLogic去除无关网站内容这里指的是实际WEB应用中全部不需要的内容。包括WEB效劳器安装文件，安装说明文件，开发测试时候的备份文件等。本次渗透测试就觉察手机银行的SunOne/iPlanetWebServermanual供给了效劳器的相关信息。有的编辑器如Ultraedit.bakWebWeb防护指南：更，都需检测是否有备份文件，与注释文件，以免信息泄露。框架钓鱼防护frameiframe下植入假冒登录框来骗取用户的登录凭证。防护指南：双引号，分号，逗号，冒号，连接号等进展转换或者过滤；TRACE是用来调试Web效劳器连接的方式。支持该方式的效劳器存在跨站脚本漏洞，攻击者可以利用此漏洞哄骗合法用户并得到他们的私人信息〔Cookie〕。防护指南：SunOne/iPlanetWebServer配臵：obj.conf在<Objectname=“default“>的后面添加如下内容：<Clientmethod=“TRACE“><Clientmethod=“TRACE“>AuthTransfn=“set-variable“remove-headers=“transfer-encoding“set-headers=“content-length:-1“error=“501“</Client>AuthTransfn=“set-variable“remove-headers=“transfer-encoding“set-headers=“content-length:-1“error=“501“</Client>WebServicePack2#include“nsapi.h“NSAPI_PUBLICintreject_trace(pblock*pb,Session*sn,Request*rq)#include“nsapi.h“NSAPI_PUBLICintreject_trace(pblock*pb,Session*sn,Request*rq){{constchar*method;method=pblock_findval(“method“,rq->reqpb);if(method&&!strcmp(method,“TRACE“)){/**SetaboguscontentlengthsotheTRACEconstchar*method;method=pblock_findval(“method“,rq->reqpb);if(method&&!strcmp(method,“TRACE“)){/**SetaboguscontentlengthsotheTRACEhandlerwillrefuseto*handletherequest*/param_free(pblock_remove(“transfer-encoding“,rq->headers));param_free(pblock_remove(“content-length“,rq->headers));pblock_nvinsert(“content-length“,“-1“,rq->headers);log_error(LOG_WARN,“reject-trace“,sn,rq,“rejectingTRACErequest“);protocol_status(sn,rq,PROTOCOL_NOT_IMPLEMENTED,NULL);returnREQ_ABORTED;}returnREQ_NOACTION;}reject_trace.c。然后依据版本参照：“://docs.sun/source/816-5686-10/04_mysaf.htm#15053(6.x)“://docs.sun/source/816-5686-10/04_mysaf.htm#15053(6.x)“://docs.sun/source/816-5673-10/04_mysaf.htm#15053(4.x)“://docs.sun/source/816-5673-10/04_mysaf.htm#15053(4.x)reject_trace.so6.0RTM6.0SP1magnus.confInitfn=“load-modules“shlib=“<pathtolibrary>/reject_trace.so“funcs=“reject_trace“Initfn=“load-modules“shlib=“<pathtolibrary>/reject_trace.so“funcs=“reject_trace“AuthTransfn=“reject_trace“AuthTransfn=“reject_trace“Initfn=“load-modules“shlib=“<pathtoPack1ServicePack12obj.confInitInitfn=“load-modules“shlib=“<pathtolibrary>/reject_trace.so“funcs=“reject_trace“library>/reject_trace.so“funcs=“reject_trace“在<Objectname=“default“>的后面添加如下内容AuthTransfn=“reject_trace“AuthTransfn=“reject_trace“Sun“://sunsolve.sun/search/document.do?assetkey=1-66-202371-1“://sunsolve.sun/search/document.do?assetkey=1-66-202371-1IISUrlscanUrlscan.ini[Option]节段中TRACE[AllowVerbs]或[DenyVerbs]节段中。具体安装和使用参照Mircosoft官方文档：“://support.microsoft/kb/326444/“://support.microsoft/kb/326444/Apached.confinclude使用虚拟主机，则需要在每个虚拟主机段添加如下内容：RewriteEngineonRewriteEngineonRewriteCond%{REQUEST_METHOD}^(TRACE|TRACK)RewriteRule.*-[F]RewriteCond%{REQUEST_METHOD}^(TRACE|TRACK)RewriteRule.*-[F]避开上传应用程序测试脚本这里指的是实际WEB应用中全部不需要的内容。包括WEB效劳器安装文件，易泄露应用程序规律及其它诸如用户名和密码之类的敏感信息。防护指南：更，都需检测是否有备份文件，与注释文件，以免信息泄露；页面或脚本上传。URLWeb应用程序接收到用户提交的URL参数后，没有对参数做“可信任URL”URL地址中，哄骗用户进入恶意网站，到达攻击者不法目的。防护指南：转向到钓鱼网站。System.Uriu=newSystem.Uri(strReturnUrl);if(u.Host.IndexOf(“.163“)==-1){strReturnUrl=“