安全Web应用程序的主要提示[关闭]

Microsoft TechNet有一篇优秀的文章:

Ten Tips for Designing, Building, and Deploying More Secure Web Applications

以下是文章中回答的提示的主题:

1. 从不直接信任用户输入
2. 服务既不应具有系统访问权限,也不应具有管理员访问权限
3. 遵循SQL Server最佳实践
4. 保护资产
5. 包括审核、日志记录和报告功能
6. 分析源代码
7. 使用纵深防御部署组件
8. 为最终用户关闭深度错误消息
9. 知道 10 Laws of Security Administration
10. 制定安全事件响应计划

不信任用户输入。

验证预期的数据类型和格式对于利用SQL注入和跨站点脚本(XSS)攻击至关重要。

1. 转义用户提供的内容以避免 XSS 攻击。
2. 使用 paremeterised SQL 或存储过程以避免 SQL Injections 攻击。
3. 将Web服务器作为非特权帐户运行,以最小化对操作系统的攻击。
4. 再次将Web服务器目录设置为非特权帐户,以最小化对操作系统的攻击。
5. 在SQL Server上设置非特权帐户,并将其用于应用程序,以最小化对数据库的攻击。

对于更深入的信息,总是有 OWASP Guide to Building Secure Web Applications and Web Services

我最喜欢的:

1. Filter Input, Escape Output 帮助防范XSS或SQL注入攻击
2. 使用准备好的语句进行数据库查询(SQL注入攻击)
3. 在服务器上禁用未使用的用户帐户以防止暴力密码攻击
4. 从HTTP头中删除Apache版本信息(serversignature=off,serverTokens=productOnly)
5. 在chrot监狱中运行您的Web服务器,以限制损坏(如果受到影响)

OWASP 是你的朋友。他们 Top Ten List Web应用程序的安全漏洞包括对每个问题的描述以及如何防范这些问题。该网站是了解更多Web应用程序安全性的好资源,也是丰富的工具和测试技术。

为SSL应用程序在cookie上设置安全标志。否则,总会有一次劫持袭击 许多的 比破解密码更容易操作。这是CVE-2002-1152的精髓所在。