網(wǎng)絡(luò)攻防技術(shù)(2)匯編

1、 1 網(wǎng)絡(luò)安全基礎(chǔ)知識 n網(wǎng)絡(luò)安全 n信息安全 n關(guān)鍵技術(shù) n安全威脅及分類 n威脅來源 網(wǎng)絡(luò)安全從其本質(zhì)上來講就是網(wǎng)絡(luò)上的信息安全。 它涉及的領(lǐng)域相當(dāng)廣泛，這是因?yàn)樵谀壳暗墓猛ㄐ?網(wǎng)絡(luò)中存在著各種各樣的安全漏洞和威脅。從廣義來 說，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用 性、真實(shí)性和可控性的相關(guān)技術(shù)和理論，都是網(wǎng)絡(luò)安 全所要研究的領(lǐng)域。 確保網(wǎng)絡(luò)系統(tǒng)的信息安全是網(wǎng)絡(luò)安全的目標(biāo)，信 息安全包括兩個(gè)方面：信息的存儲安全和信息的傳輸 安全。 信息的存儲安全是指信息在靜態(tài)存放狀態(tài)下的安全， 如信息是否會被非授權(quán)調(diào)用等。 信息的傳輸安全是指信息在動態(tài)傳輸過程中安全， 如信息是否被篡改、重放等。

2、1.1 網(wǎng)絡(luò)安全 response.writejavascript:history.go(-1) response.end else session(admin)=rs(admin) session(password)=rs(password) session(aleave)=rs(aleave) response.redirect admin.asp end if rs.close set rs=nothing 一個(gè)經(jīng)典的SQL注入漏洞 分析 n在用戶名和密碼那里都填入 OR = ， nSQL語句被構(gòu)造成 select * from admin where admin= OR = and p

3、assword= OR = n意思是當(dāng)admin為空或者空等于空， password為空或者空等于空的時(shí)候整個(gè)查 詢語句就為真。 如何來修補(bǔ)漏洞？ n過濾掉其中的特殊字符。 n這里我們就過濾掉其中的“”，即是把程序 的頭兩行改為： admin1=replace(trim(request(admin),) password1=replace(trim(request(password), ,) 5.2 防止SQL注入 四種方法： (1) 在服務(wù)端正式處理之前對提交數(shù)據(jù)的合法 性進(jìn)行檢查； (2) 封裝客戶端提交信息； (3) 替換或刪除敏感字符/字符串； (4) 屏蔽出錯信息。 第一種方法 Di

4、m Tc_Post,Tc_Get,Tc_In,Tc_Inf,Tc_Xh 定義需要過濾的字串 Tc_In=|;|and|(|)|exec|insert|select|delete|update|count|*|%|chr|mid|master|or|c har|declare Tc_Inf = split(Tc_In,|) 處理post數(shù)據(jù) If Request.Form Then For Each Tc_Post In Request.Form For Tc_Xh=0 To Ubound(Tc_Inf) If Instr(LCase(Request.Form(Tc_Post),Tc_Inf(T

5、c_Xh)0 Then Response.Write alert(請不要在參數(shù)中包含非法 字符嘗試注入！); 處理get數(shù)據(jù) If Request.QueryString Then For Each Tc_Get In Request.QueryString For Tc_Xh=0 To Ubound(Tc_Inf) If Instr(LCase(Request.QueryString(Tc_Get),Tc_Inf(Tc_Xh)0 Then Response.Write alert(請不要在參數(shù)中包含非法 字符嘗試注入！); 5.3 Cookie注入 讀源碼： 獲取參數(shù)ID，但是沒限制來源（關(guān)鍵） Set rsnews=Server.CreateObject(ADODB.RecordSet) sql=update news set hits=hits+1 where id=”來區(qū)分的, 所以注射語句里面不要含有“;”,如果含有的 話,可能會導(dǎo)致你的注射語句出錯。 n在cookie里，會自動過濾掉空格，所以注射 語句里面要注意轉(zhuǎn)換。 舉例說明cookie注入 n首先提交正常的新聞頁面 http:/localhost/leichi/onews.asp?id=39 n接著在瀏覽器輸入 javascript:alert(document.cookie=“