qq_44795638的博客

原创 web安全实战第二天——攻击机制与防御机制

处理用户访问 1.1身份验证 1.2会话管理 1.3访问控制 处理用户输出 2.1输出的多样性 2.2输入的处理方法 2.3 边界确认 处理攻击者 3.1处理错误 3.2维护审计日志 3.3发出警报 3.4应对攻击 前言 一、处理用户访问 1.身份验证 主要是用户加密码的验证方式，攻击者可以利用逻辑缺陷绕过密码或者暴力破解密码，与身份验证有关功能存在非法访问敏感数据的功能。 2.会话管理 web应用程序会对每一个用户建立会话，并发放令牌，令牌常见方式有隐藏表单字段（hidden form field）或UR