后台开发安全基础知识整理

1 背景

如今系统安全性越来越重要，作为后台开发也应该具备基础的安全意识，这样避免犯简单的错误，提高系统的安全性。因此本文整理了需要具备的基本意识。

2 安全基本概念

列举需要了解的基本概念列表，但不做详细解释，仅当作目录，详细内容可以查询网络资料。

• 越权
  • 水平越权（数据越权）
  • 垂直越权 (功能越权）
• SQL注入
• 跨站脚本攻击(XSS)
• URL重定向篡改漏洞
• 服务端请求伪造(Server-Side Request Forgery = SSRF)
• XML外部实体注入(XXE)
• 恶意文件操作
  • 恶意文件上传：例如上传系统会接收上传文件，但没对文件做限制，导致被传入恶意文件，完成系统攻击。
  • 恶意文件下载：利用目录访问符号下载系统重要文件，如/…/…/…/etc/passwd
  • 恶意文件覆盖：统一利用路径上传文件，将正常文件覆盖，达到破坏系统的目的
• 命令注入：接口对外提供执行命令的功能，但命令和数据未分离，导致外部注入非法命令，实现系统攻击
• CORS配置错误
• 系统逻辑异常
  • 并发资源访问，例：当账号并发发起请求，但系统未做全局限制
  • 未检查依赖关系，一个功能有多个状态，状态变换时没做依赖检查，导致可以直接跳过其中某个状态，从而实现非法操作
  • 仅靠前端进行安全检查

3 总结

2中列出了常见基础问题，业务开发人员也应学习，提高基本安全意识。