安全测试之防御思考

1，简短说明

前台请求，后台返回

1，请求

第一步：请求的真实性（不可伪造，不可抵赖）
是否被篡改（如：XSS攻击）【签名，前台数字签名，后台验签】
是否部分伪造（如：CSRF攻击）【签名，前台数字签名，后台验签】
是否完全伪造（如：重放攻击）【验证码机制，验证码只用一次，用后失效，过期失效】

验证码机制，只能减弱重放攻击，不能完全避免

第二步：请求携带的内容（请求是真实的，没有被处理的）
内容包含敏感字符（XSS攻击，SQL注入等）【过滤机制，过滤敏感字符】

2，常见攻击

XSS攻击（跨站点脚本编制）
CSRF攻击（跨站点请求伪造）
RA攻击（重放攻击）

2，参考链接

https://blog.youkuaiyun.com/qmickecs/article/details/73696954