安全Web應用程序的重要提示

Question

我正在尋找簡單有效的步驟，使Web應用程序更加安全。

什麼是安全Web應用程序的高級技巧，他們會停止什麼樣的攻擊？

Answer 1

微軟的Technet有恩優秀文章：

Ten Tips for Designing, Building, and Deploying More Secure Web Applications

以下是該文章中回答提示的主題：

1. 永不直接信任用戶輸入
個
2. 服務應該既沒有制度，也沒有管理員權限
3. 跟蹤SQL Server最佳實踐
4. 保護資產
5. 包括審計，日誌記錄和報告功能
6. 分析源代碼
7. 部署組件在使用防禦深度
8. 關閉最終用戶的詳細錯誤消息
9. 瞭解10 Laws of Security Administration
10. 安全事件響應計劃

Answer 2

1. 逃避用戶提供的內容以避免XSS攻擊。
2. 使用paremeterised SQL或存儲過程來避免SQL Injections攻擊。
3. 將網絡服務器作爲非特權帳戶運行，以儘量減少對操作系統的攻擊。
4. 將web服務器目錄設置爲非特權帳戶，以最大限度地減少對操作系統的攻擊。
5. 在SQL服務器上設置非特權帳戶並將它們用於應用程序以最大限度地減少對數據庫的攻擊。

對於更深入的信息，總有OWASP Guide to Building Secure Web Applications and Web Services

Answer 3

不信任用戶輸入。

驗證預期的數據類型和格式對於避免SQL注入和跨站點腳本攻擊（XSS）非常重要。

Answer 4

在SSL應用程序的cookie上設置安全標誌。否則總會有一個劫持攻擊，比攻破密碼更容易進行。這是CVE-2002-1152的精髓。

Answer 5

一些我的最愛：

1. Filter Input, Escape Output，以幫助防範XSS或SQL注入攻擊
2. 準備使用您的服務器上的數據庫查詢語句（SQL注入攻擊）
3. 禁用未使用的用戶帳戶防止暴力密碼攻擊
4. 從HTTP標頭中刪除Apache版本信息（ServerSignature = Off，ServerTokens = ProductOnly）
5. 運行您的Web服務器在chroot監獄中，以在受到損害時限制損害

Answer 6

OWASP是你的朋友。他們的Web應用程序安全漏洞的Top Ten List包括每個問題的描述以及如何防範它。該網站是學習更多關於Web應用程序安全性的好資源，同時也是豐富的工具和測試技術。