网络安全常见问题_网络安全相关的常见问题-程序员宅基地

技术标签: web安全  安全  数据库  网络安全  

网络安全问题

1、各类弱口令
最主要,并且最严重的安全问题,人员安全技能提高后,也是最容易解决的安全问题。

弱口令(weak password) 没有严格和准确的定义,通常认为容易被别人(他们有可能对你很了解)猜测到或被破解工具破解的口令均为弱口令。设置密码通常遵循以下原则:
(1)不使用空口令或系统缺省的口令,这些口令众所周之,为典型的弱口令。
(2)口令长度不小于8个字符。
(3)口令不应该为连续的某个字符(例如:AAAAAAAA)或重复某些字符的组合(例如:tzf.tzf.)。
(4)口令应该为以下四类字符的组合,大写字母(A-Z)、小写字母(a-z)、数字(0-9)和特殊字符。每类字符至少包含一个。如果某类字符只包含一个,那么该字符不应为首字符或尾字符。
(5)口令中不应包含本人、父母、子女和配偶的姓名和出生日期、纪念日期、登录名、E-mail地址等等与本人有关的信息,以及字典中的单词。
(6)口令不应该为用数字或符号代替某些字母的单词。
(7)口令应该易记且可以快速输入,防止他人从你身后很容易看到你的输入。
(8)至少90天内更换一次口令,防止未被发现的入侵者继续使用该口令。
系统层弱口令
数据库弱口令
Web中间件弱口令
ftp弱口令
SNMP弱口令
Web应用登录页面弱口令

2、补丁类漏洞
此类问题根据漏洞的威胁大小,产生影响不同,需要更高的安全技能水平判断。

系统层补丁,如Windows MS08067等
应用程序补丁 ,如apache相关高危补丁、tomcat相关高危补丁、ftp软件
相关高危补丁等
网站程序补丁, 如某些网站建站系统版本过低存在安全漏洞。

3、网站及WEB应用类漏洞
此类问题又分为非常多的种类,以至于可单独作为安全的一个分类,根据漏洞类型不同、网站应用不同产生的威胁大小不同。注入、跨站类不同扫描器扫描结果不同,单个网站可能几十个注入漏洞等,修改代码整改漏洞存在一定难度。

代码执行漏洞,如通过网站url进行命令注入等。
文件包含漏洞,如通过网站url读取任意系统文件内容,网页源码信息等。
文件上传漏洞, 如通过上传页面直接上传网页木马控制系统。
文件上传漏洞通常由于网页代码中的文件上传路径变量过滤不严造成的,如果文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型,攻击者可通过 Web 访问的目录上传任意文件,包括网站后门文件(webshell),进而远程控制网站服务器。
因此,在开发网站及应用程序过程中,需严格限制和校验上传的文件,禁止上传恶意代码的文件。同时限制相关目录的执行权限,防范webshell攻击。
安全配置类漏洞,如IIS写权限开启,可直接写网页木马到服务器。
SQL注入类漏洞,通过SQL注入获取数据库信息,账户密码信息,甚至执行系统命令。SQL注入攻击(SQL Injection),简称注入攻击、SQL注入,被广泛用于非法获取网站控制权,是发生在应用程序的数据库层上的安全漏洞。在设计程序,忽略了对输入字符串中夹带的SQL指令的检查,被数据库误认为是正常的SQL指令而运行,从而使数据库受到攻击,可能导致数据被窃取、更改、删除,以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。
跨站类漏洞,根据跨站漏洞类型,如存储型跨站,反射型跨站等不同,可造成不同影响。
1、跨站脚本攻击(Cross-site scripting,通常简称为XSS)发生在客户端,可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意代码等攻击。
XSS攻击使用到的技术主要为HTML和Javascript,也包括VBScript和ActionScript等。XSS攻击对WEB服务器虽无直接危害,但是它借助网站进行传播,使网站的使用用户受到攻击,导致网站用户帐号被窃取,从而对网站也产生了较严重的危害。
目录浏览类漏洞,通过目录浏览,能够看到整个网站的结构,某些情况下
可直接下载网站源码,数据库等

4、已经被入侵遗留的后门
此类问题又分为非常多的种类,以至于可单独作为安全的一个分类,根据漏洞类型不同、网站应用不同产生的威胁大小不同。

后门,如不法者入侵之后遗留的网页木马,远控木马,粘滞键后门、放大
镜后门、隐藏账户等,下次不法者直接通过后门进入系统。
正常用户的密码,如不法者入侵之后,通过hash破解方式获得正常账户密
码信息,此后直接通过正常账户登录系统,隐蔽性更强,更不容易发现。

5、其他漏洞
此类问题又分为非常多的种类,以至于可单独作为安全的一个分类,根据漏洞类型不同、网站应用不同产生的威胁大小不同。

共享文件,未加密的共享文件夹,共享文件等,可能存在敏感信息,
如账户口令信息,网络拓扑等。
使用不当,如登录系统或应用时采用了记住密码功能,其他用户可
直接登录。
明文传输,如使用telnet方式登录,或者网站采用http方式,并且密
码字段未加密,都可以导致在网络中使用嗅探工具,获得密码。

6、HTTP报头追踪漏洞

HTTP/1.1(RFC2616)规范定义了HTTP TRACE方法,主要是用于客户端通过向Web服务器提交TRACE请求来进行测试或获得诊断信息。当Web服务器启用TRACE时,提交的请求头会在服务器响应的内容(Body)中完整的返回,其中HTTP头很可能包括Session Token、Cookies或其它认证信息。攻击者可以利用此漏洞来欺骗合法用户并得到他们的私人信息。该漏洞往往与其它方式配合来进行有效攻击,由于HTTP TRACE请求可以通过客户浏览器脚本发起(如XMLHttpRequest),并可以通过DOM接口来访问,因此很容易被攻击者利用。

7、Struts2远程命令执行漏洞

Apache Struts是一款建立Java web应用程序的开放源代码架构。Apache Struts存在一个输入过滤错误,如果遇到转换错误可被利用注入和执行任意Java代码。
网站存在远程代码执行漏洞的大部分原因是由于网站采用了Apache Struts Xwork作为网站应用框架,由于该软件存在远程代码执高危漏洞,导致网站面临安全风险。CNVD处置过诸多此类漏洞,例如:“GPS车载卫星定位系统”网站存在远程命令执行漏洞(CNVD-2012-13934);Aspcms留言本远程代码执行漏洞(CNVD-2012-11590)等。

8、框架钓鱼漏洞(框架注入漏洞)

框架注入攻击是针对Internet Explorer 5、Internet Explorer 6、与 Internet Explorer 7攻击的一种。这种攻击导致Internet Explorer不检查结果框架的目的网站,因而允许任意代码像Javascript或者VBScript跨框架存取。这种攻击也发生在代码透过多框架注入,肇因于脚本并不确认来自多框架的输入。这种其他形式的框架注入会影响所有的不确认不受信任输入的各厂商浏览器和脚本。

9、应用程序测试脚本泄露

由于测试脚本对提交的参数数据缺少充分过滤,远程攻击者可以利用此漏洞以WEB进程权限在系统上查看任意文件内容。防御此类漏洞通常需严格过滤提交的数据,有效检测攻击。

10、私有IP地址泄露漏洞

IP地址是网络用户的重要标示,是攻击者进行攻击前需要了解的。获取的方法较多,攻击者也会因不同的网络情况采取不同的方法,如:在局域网内使用Ping指令,Ping对方在网络中的名称而获得IP;在Internet上使用IP版的QQ直接显示。最有效的办法是截获并分析对方的网络数据包。攻击者可以找到并直接通过软件解析截获后的数据包的IP包头信息,再根据这些信息了解具体的IP。

版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/LIULIUAINI66/article/details/122959594

智能推荐

Linux Back Light driver_linux backlight driver-程序员宅基地

文章浏览阅读440次。/linux/drvices/leds/leds-lm3530.c1、probstatic int lm3530_probe(struct i2c_client *client, const struct i2c_device_id *id){ struct lm3530_platform_data *pdata = dev_get_platdata(&client->de_linux backlight driver

【程序设计】Sklearn运行错误的解决方法_futurewarning: pass sr=16000, n_fft=800 as keyword-程序员宅基地

文章浏览阅读5.2k次,点赞5次,收藏5次。本文分享一些Scikit-Learn常见运行错误的解决方法_futurewarning: pass sr=16000, n_fft=800 as keyword args. from version 0.10 p

xposed框架安全模式_为什么很多人的手机明明已经解锁root,完全可以装Xposed框架,却还要用“太极Magisk版”?...-程序员宅基地

文章浏览阅读767次。如果题主想问为什么不装原版Xposed,这个原因楼上都讲了,原版Xposed停更了,所以才出现EdXposed、TaiChi(分两种版本,一种免root,是基于虚拟App技术的)这些项目。而且Xposed也是有Magisk模块的,可以在较低版本Android上安装使用——Magisk本身不就是root方式的一种么……题主这问题问的,好像magisk不是root一样。实际上就是因为后来版本的Andr..._magisk 安全模式

JAVA实现IDcard身份证自动识别_java身份证识别-程序员宅基地

文章浏览阅读1.3w次。调用百度api实现身份证信息读取_java身份证识别

金融分析与风险管理——期权的隐含波动率_隐含波动率的迭代计算-程序员宅基地

文章浏览阅读2.3k次,点赞7次,收藏32次。金融分析与风险管理——期权的隐含波动率1. 隐含波动率的计算方法1.1 牛顿迭代法1.2 二分查找法2. 波动率微笑与斜偏2.1 波动率微笑2.2 波动率斜偏1. 隐含波动率的计算方法在期权市场上,可以直接观察到标的物当前价格(S)、期权的执行价格(K)、合约期限(T)以及无风险收益率(r),但是波动率不能直接观察。当然,我们可以通过标的物历史价格来估计波动率,但是在实际的应用中,通常会使用隐含波动率,隐含波动率可通过期权的市场价格、运用 BSM 模型进行计算。由于期权的定价公式非常复杂,不能直接通过反_隐含波动率的迭代计算

html 页面北京怎么设置,怎么给html设置背景色-程序员宅基地

文章浏览阅读900次。给html设置背景色的方法:首先创建一个HTML示例文件;然后通过给body或p标签等添加“background-color”属性来设置不同元素的背景色即可。本教程操作环境:Windows7系统、DELL G3电脑、HTML5&&CSS3。background-color属性设置一个元素的背景颜色。元素的背景是元素的总大小,包括填充和边界(但不包括边距)。实例设置不同元素的背景色:..._html 根据条件设置北京

随便推点

江苏计算机学三本大学,江苏有那些三本大学-程序员宅基地

文章浏览阅读70次。原标题:江苏有那些三本大学有哪些好的三本大学?小编推荐上海同济大学!※学校简介:同济大学(Tongji University),简称同济,是中华人民共和国教育部直属的全国重点大学,是历史悠久、享有盛誉的中国著名高等学府,是国家“211工程”、“985工程”重点建设高校,也是收生标准最严格的中国大学之一;是“2011计划”、“珠峰计划”、“卓越工程师计划”、卓越法律人才教育培养计划、卓越医生教育培养..._江苏三本计算机院校

电容通电瞬间产生电流的原理_电容充电瞬间电流-程序员宅基地

文章浏览阅读1.1w次,点赞8次,收藏29次。看了深度解读麦克斯韦方程组这篇文章后对电容通电瞬间产生电流的原理有了一个全面的理解,之前一直没有想通过,下面是我结合麦克斯韦方程组的理解,如有不当请指出:结合麦克斯韦方程组:麦克斯韦方程组的后两个等式告诉我们变化的磁场产生环路电场,如果此时电路中有回路,那么环路电场就会驱动电子运动形成电流;我们再来仔细分析一下电容器充电的过程:电池驱使着电荷不断地向电容器聚..._电容充电瞬间电流

mysql存储函数 参数 varchar 报错问题-程序员宅基地

文章浏览阅读4.4k次。Mysql Navicat 中声明存储函数如果报如下错误,应该是你传入的varchar参数没有声明长度所导致的。加上长度即可。 这样就解决了错误

[LeetCode]--139. Word Break(Python)_python leetcode139-程序员宅基地

文章浏览阅读876次。[LeetCode]--139. Word Break(Python)Dynamic Programming_python leetcode139

megacli 缓存策略_avago megaraid 无电池设置缓存celue-程序员宅基地

文章浏览阅读887次。缓存策略是指raid卡在写入磁盘之前如何使用板载ram来收集数据,或者在系统请求之前读取数据。当我们有大量的数据要写时,使用写缓存,它可以更快地将数据顺序写入磁盘,而不是写入小块数据。当系统请求某些数据时,使用读缓存,并且raid卡将数据保存在缓存中,以防系统再次请求相同的数据。优点读写缓存总是比访问旋转磁盘快。只有当系统具有良好的UPS电源时,才应使用缓存。潜在危险如果..._avago megaraid 无电池设置缓存celue

Postman接口测试之管理用例Collections-程序员宅基地

文章浏览阅读503次。一、管理用例CollectionsCollections集合:也就是将多个接口请求可以放在一起,并管理起来。那么,什么样的接口请求可以放在同一个collection里?在这里告诉大家可以这样:一个工程一个Collection,这样方便查找及统一处理数据。第一步:创建Collections点击上图中的带+..._postman collections是同时请求吗

推荐文章

热门文章

相关标签