常见WEB漏洞描述及修复建议(可收藏写报告用)-句芒安全实验室

本文详细介绍了常见的WEB安全漏洞,如明文传输、SQL注入、XSS攻击、不安全的HTTP方法等,提供相应的修复建议,包括使用加密传输、SQL预编译、文件上传验证等措施,旨在帮助提升网站安全性。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

注:以下内容部分摘自网络,部分工作总结。

一、明文传输

漏洞描述:
用户登录过程中使用明文传输用户登录信息,若用户遭受中间人攻击时,攻击者可直接获取用户密码

修复建议:
1.用户登录信息时使用加密传输,如密码在传输前使用安全的算法加密后传输,可采用的算法包括:不可逆hash算法加盐(4位及以上随机数,由服务器端产生);安全对称加密算法,如AES(128、192、256位),且必须保证客户端密钥安全,不可被破解或读出;非对称加密算法,如RSA(不低于2048位)、SM2等。
2.使用https来保证传输的安全。

 

二、SQL注入

漏洞描述:

Web程序代码中对于用户提交的参数未做过滤就直接放到SQL语句中执行,导致参数中的特殊字符打破了SQL语句原有逻辑,攻击者可以利用该漏洞执行任意SQL语句,如查询数据、下载数据、写入webshell、执行系统命令等

修复建议:

采用sql语句预编译和绑定变量;对进入数据库的特殊字符(’”<>&*;等)进行转义处理,或编码转换;查询语句使用数据库提供的参数化查询接口等。

 

三、跨站脚本攻击(xss)

漏洞描述:
Web程序代码中把用户提交的参数未做过滤或过了不严就直接输出到页面,参数中的特殊字符打破了HTML页面的原有逻辑,黑客可以利用该漏洞执行恶意HTML/JS代码、构造蠕虫传播、篡改页面实施钓鱼攻击、诱以及导用户再次登录,然后获取其登录凭证等。

修复建议:

对一些非法的参数,像<>、,",'等进行自动转义,或者是强制的拦截并提示,过滤双引号,分好,单引号,对字符进行HTML实体编码操作

 

四、不安全HTTP方法

漏洞描述:

目标服务器启用了不安全的传输方法,如PUT、TRACE、DELETE、MOVE等,

修复建议:

如无必要关闭不安全的传输方法,推荐只使用POST、GET方法

 

五、任意文件上传

漏洞描述:

文件上传漏洞通常由于网页代码中的文件上传路径变量过滤不严或webserver相关解析漏洞未修复而造成的,如果文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型,攻击者可通过 Web 访问的目录上传任意文件,包括网站后门文件(webshell),进而远程控制网站服务器。<

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值