網(wǎng)站seo優(yōu)化越權(quán)防范
日期 : 2020-05-31 18:06:58
越權(quán)防范。越權(quán)的威脅在于一個(gè)賬戶即可控制全站用戶數(shù)據(jù)，當(dāng)然這些數(shù)據(jù)僅限于存在漏洞功能對(duì)應(yīng)的數(shù)據(jù)。越權(quán)漏洞的成因主要是因?yàn)殚_發(fā)人員在對(duì)數(shù)據(jù)進(jìn)行增、刪、改、查詢時(shí)對(duì)客戶端請(qǐng)求的數(shù)據(jù)過分相信而遺漏了權(quán)限的判定。針對(duì)越權(quán)漏洞產(chǎn)生的原因制定出響應(yīng)的防范措施。
(1）通過采用類似spring security等成熟的權(quán)限管理框架，規(guī)范系統(tǒng)的用戶權(quán)限。
(2）可以從用戶的加密認(rèn)證cookie中獲取當(dāng)前用戶id，防止攻擊者對(duì)其修改。或在session、cookie中加入不可預(yù)測(cè)的user信息。
(3）每次頁面訪問時(shí)對(duì)用戶權(quán)限進(jìn)行驗(yàn)證，采用表單或其他參數(shù)提交用戶進(jìn)行訪問操作的憑證時(shí)，應(yīng)盡可能采用難以猜測(cè)的構(gòu)造方式（增加字母及隨機(jī)數(shù)字等）或采用復(fù)雜的加密算法加密后提交，在客戶端和服務(wù)器端對(duì)提交的憑證或會(huì)話的權(quán)限進(jìn)行驗(yàn)證。
(4）對(duì)管理功能模塊進(jìn)行嚴(yán)格的權(quán)限驗(yàn)證，如非必要建議不對(duì)互聯(lián)網(wǎng)開放或進(jìn)行網(wǎng)絡(luò)層的訪問控制。
(1）通過采用類似spring security等成熟的權(quán)限管理框架，規(guī)范系統(tǒng)的用戶權(quán)限。
(2）可以從用戶的加密認(rèn)證cookie中獲取當(dāng)前用戶id，防止攻擊者對(duì)其修改。或在session、cookie中加入不可預(yù)測(cè)的user信息。
(3）每次頁面訪問時(shí)對(duì)用戶權(quán)限進(jìn)行驗(yàn)證，采用表單或其他參數(shù)提交用戶進(jìn)行訪問操作的憑證時(shí)，應(yīng)盡可能采用難以猜測(cè)的構(gòu)造方式（增加字母及隨機(jī)數(shù)字等）或采用復(fù)雜的加密算法加密后提交，在客戶端和服務(wù)器端對(duì)提交的憑證或會(huì)話的權(quán)限進(jìn)行驗(yàn)證。
(4）對(duì)管理功能模塊進(jìn)行嚴(yán)格的權(quán)限驗(yàn)證，如非必要建議不對(duì)互聯(lián)網(wǎng)開放或進(jìn)行網(wǎng)絡(luò)層的訪問控制。
相關(guān)文章
精彩導(dǎo)讀
熱門資訊
