html提交返回表单不变(HTML中form表单数据提交方式)

  看点

  01

  针对网站目录路径泄露整改建议

统一错误代码:确保你不小心通过提供不一致或“冲突”的错误消息给攻击者。

信息错误消息:确保错误信息不透露太多的信息。完全或部分路径,变量和文件名,行和表中的列名,和特定的数据库的错误不应该透露给最终用户。

适当的错误处理:利用通用的错误页面和错误处理逻辑,告知潜在的问题的最终用户。不提供系统信息或可能被攻击者利用精心策划的攻击时,其它数据。

  看点

  02

  针对文件上传漏洞整改建议

  文件上传功能允许 Web 用户将文件从自己的计算机发送到 Web 服务器。如果用于接收文件的 Web 应用程序未仔细检查此文件是否包含恶意内容,那么攻击者也许能够通过上传文件在服务器上执行任意命令。建议采取严格的文件上传策略,通过清理和筛选避免上传恶意材料。

  限制文件上传的类型,检查的文件扩展名,只允许特定的文件上传。用白名单的方式而不是一个黑名单。检查双扩展,如.php.png。检查的文件没有文件 名一样。htaccess(对ASP.NET配置文件,检查网络配置。)。改变对上传文件夹的权限,文件在此文件夹中不可执行。如果可能的话,重命名上传文件。

可能会在 Web 服务器上运行远程命令。这通常意味着完全破坏服务器及其内容

可能会在 Web 服务器上上载、修改或删除 Web 页面、脚本和文件在文件上载过程中,限制用户能力和许可权:

  [1] 确保上载脚本只能控制上载的文件名和位置。

  [2] 不上载脚本文件,如 asp、aspx、php、jsp 等。只允许上载静态内容。

  [3] 只允许上载预期的文件类型。例如,如果您预期纯文本文件,便只允许 .txt 扩展名。

  [4] 验证上载的文件内容。如果您预期纯文本文件,请确保它不含二进制字符或动态脚本部分。

  看点

  03

  针对Robot.txt文件WEB站点结构泄露漏洞整改建议

  可能会检索有关站点文件系统结构的信息,这可能会帮助攻击者映射此 Web 站点。

  1、 robots.txt 文件不应用来保护或隐藏信息

  2、 您应该将敏感的文件和目录移到另一个隔离的子目录,以便将这个目录排除在 Web Robot 搜索之外。如下列示例所示,将文件移到“folder”之类的非特定目录名称是比较好的解决方案:

  New directory structure: /folder/passwords.txt /folder/sensitive_folder/New robots.txt: User-agent: * Disallow: /folder/

  3、 如果您无法更改目录结构,且必须将特定目录排除于 Web Robot 之外,在 robots.txt 文件中,请只用局部名称。

  虽然这不是最好的解决方案,但至少它能加大完整目录名称的猜测难度。

html提交返回表单不变(HTML中form表单数据提交方式),html提交返回表单不变(HTML中form表单数据提交方式),html提交返回表单不变,信息,账号,浏览器,第1张

  例如

如果要排除“sensitive_folder”和 “passwords.txt”,请使用下列名称(假设 Web 根目录中没有起始于相同字符的文件或目录): robots.txt: User-agent: * Disallow: /se Disallow: /pa

  看点

  04

  针对源代码泄露漏洞整改建议

  攻击者可以收集敏感信息(数据库连接字符串,应用程序逻辑)的源代码分析。该信息可以被用来进行进一步的

  1、 建议升级最新tomcat中间件。

  2、 建议在tomcat的conf/web.xml文件里加入大写.JSP映射。即

  <servlet-mapping>

  <servlet-name>JSP</servlet-name>

  <url-pattern>*.JSP</url-pattern>

  </servlet-mapping>

  看点

  05

  针对SVN库发现漏洞整改建议

  这些文件可以公开敏感信息,有助于一个恶意用户准备更进一步的攻击。

  从生产系统中删除这些文件或限制访问.svn目录。拒绝访问所有你需要在适当的范围内添加以下几行svn文件夹(或者全局配置, 或者 vhost/directory, 或者是 .htaccess)。

  <Directory ~ ".svn">

  Order allow,deny

  Deny from all

  </Directory>

  看点

  06

  针对网络端口未限制漏洞的整改建议

  1、 建议明确每个端口对应的服务进程,根据系统和应用的要求,关闭系统中不必要的服务进程2、 建议明确服务器的对外和对内的服务用途,关闭系统中不必要的服务端口(如139、445等)。

  3、 如果需要对外开放其他端口,建议采用IP地址限制(例如:3389端口)。

  4、 建议防火墙关闭不需要的端口,只开放对外提供服务的端口(例如:80端口)。

  远程攻击者可以根据端口号来判断服务器有哪些应用,并根据相应的应用采取对应攻击,为黑客提供了更多攻击途径与手段。

  看点

  07

  针对跨站脚本漏洞整改建议

  每个提交信息的客户端页面,通过服务器端脚本(JSP、ASP、ASPX、PHP等脚本)生成的客户端页面,提交的表单(FORM)或发出的连接请求中包含的所有变量,必须对变量的值进行检查。过滤其中包含的特殊字符,或对字符进行转义处理。

  特殊字符包括:

HTML标签的<符号、“符号、’符号、%符号等,以及这些符号的Unicode值;

客户端脚本(Java、VB)关键字:java、等;

  此外,对于信息搜索功能,不应在搜索结果页面中回显搜索内容。同时应设置出错页面,防止Web服务器发生内部错误时,错误信息返回给客户端。

  看点

  08

  针对Fckeditor编辑器漏洞整改建议

  1、 删除FCKeditor测试页面。

  2、 升级最新版FCKeditor编辑器

  看点

  09

  针对任意文件下载漏洞整改建议

  1、 禁止用文件名的方式访问网站目录的文件。

  2、 访问的文件名必须限制在规定的目录内,禁止越权使用别的目录

  看点

  10

  URL跳转漏洞

漏洞类型:URL跳转漏洞

详细说明:Web应用程序接收到用户提交的URL参数后,没有对参数做“可信任URL”的验证,就向用户浏览器返回跳转到该URL的指令。黑客可以通过URL跳转漏洞进行钓鱼窃取账号

修复方案: 保证用户所点击的URL,是从web应用程序中生成的URL,所以要做TOKEN验证

  作者:yangwen

  来源:https://bbs.ichunqiu.com/thread-21562-1-1.html

炼石信息安全培训春季班开招

QQ:495066536

372806985

敬请持续关注……

1、本网站名称:源码村资源网
2、本站永久网址:https://www.yuanmacun.com
3、本网站的文章部分内容可能来源于网络,仅供大家学习与参考,如有侵权,请联系站长进行删除处理。
4、本站一切资源不代表本站立场,并不代表本站赞同其观点和对其真实性负责。
5、本站一律禁止以任何方式发布或转载任何违法的相关信息,访客发现请向站长举报
6、本站资源大多存储在云盘,如发现链接失效,请联系我们我们会第一时间更新。
源码村资源网 » html提交返回表单不变(HTML中form表单数据提交方式)

1 评论

您需要 登录账户 后才能发表评论

发表评论

欢迎 访客 发表评论