Web服務(wù)器的安全和攻擊防范(9)

2024-09-10 00:03:05

字體：大中小

供稿：網(wǎng)友

偽造Web請(qǐng)求（三）

　　另外一種常見的錯(cuò)誤是把內(nèi)部應(yīng)用的狀態(tài)數(shù)據(jù)通過< INPUT TYPE="HIDDEN" >標(biāo)記從一個(gè)頁面?zhèn)鬟f到另一個(gè)頁面。把內(nèi)部應(yīng)用的狀態(tài)放到信任界限之外就如把應(yīng)用的心臟挖出來放到了攻擊者的面前。對(duì)于如此缺乏安全保障的應(yīng)用，任何想要摧毀它的攻擊者都可以輕易地引導(dǎo)該應(yīng)用并得到任何想要的效果。應(yīng)用的狀態(tài)應(yīng)該通過會(huì)話變量保存在服務(wù)器上，永遠(yuǎn)不應(yīng)該跨越信任界限。所有的Web應(yīng)用開發(fā)平臺(tái)都有這種機(jī)制。例如在PHP3中，PHPLIB可用于保存會(huì)話數(shù)據(jù)，PHP4使用的是session_*()調(diào)用，ASP提供Session對(duì)象，Cold Fusion提供幾種不同的會(huì)話變量。

　　Web應(yīng)用不應(yīng)該把任何來自信任界線之外的數(shù)據(jù)直接保存為會(huì)話變量：會(huì)話變量是可信任的變量，不應(yīng)該用來保存不可信任的數(shù)據(jù)。通常，來自外面的數(shù)據(jù)（比如表單變量的數(shù)據(jù)）應(yīng)該先傳入檢驗(yàn)其合法性的函數(shù)。只有當(dāng)檢驗(yàn)函數(shù)表示表單提供的數(shù)據(jù)是安全的，才可以把表單數(shù)據(jù)復(fù)制到會(huì)話變量。Web應(yīng)用應(yīng)該把這種檢查集中到一起進(jìn)行，應(yīng)用的所有其余部分永遠(yuǎn)不應(yīng)該直接接觸表單變量，而是應(yīng)該使用經(jīng)過檢查且確認(rèn)安全的會(huì)話數(shù)據(jù)。

　　參考：

http://www.koehntopp.de/kris/artikel/weBTune/
"Webserver verstehen und tunen" (德語)
http://www.koehntopp.de/php/
"de.comp.lang.php - H‰ufig gestellte Fragen" (德語)
http://www.insecure.org/nmap/
"NMAP Port Scanner" (英語)
http://ethereal.zing.org/
"Ethereal Network Monitor" (英語)
http://www.marko.net/cheops
"Ceops Network Mapper" (英語)
http://freshmeat.net/appindex/1998/04/06/891857252.html
"lsof - list open files" (英語)

"TCP/IP Illustrated, Volume 1: The Protocols" (英語)
W. Richard Stevens
Addison-Wesley

"Hacking Exposed - Network Security Secrets & Solutions" (英語)
McClure, Scambray and Kurtz

"Maximum Linux Security" (英語)
Anonymous
http://phplib.netuse.de/
"A library for PHP application development" (英語)