Web应用安全

习题预习

1. 什么是Web应用程式攻击，有哪些常见的攻击手段？
2. 如何设计一个安全的Web应用程式？需要考虑哪些方面？
3. Web应用程式中，如何避免SQL注入、跨站脚本等常见攻击？
4. Web应用程式中的会话安全问题是什么？如何设计安全的会话管理系统？
5. 如何检测Web应用程式中的漏洞？有哪些常用的漏洞扫瞄工具和技术？

说明知识

Web Application Security（网路应用程式安全性）是指保护网路应用程式不受到未授权的存取、资讯泄漏、破坏攻击等安全威胁的措施和技术。Web应用程式包括网路商店、网路银行、网路邮件、社交媒体等等。

举例来说，当一家银行网路应用程式遭到攻击时，攻击者可能会尝试入侵该银行的伺服器，盗取客户的资讯或造成金融损失。为了保护网路应用程式的安全性，银行可以采取一系列的措施，例如使用强密码、身份验证、SSL加密技术、反向代理等技术，提高网路应用程式的安全性，保护客户的资讯不受到威胁。另外，银行也需要持续监控网路安全状况，如发现异常情况及时采取应对措施。

总之，Web Application Security对于确保网路应用程式的安全性非常重要，尤其对于金融、电子商务等强调安全性的行业更是必不可少的。

条列重点

1. 常见的攻击方式：包括SQL注入、跨站脚本（XSS）攻击、跨站请求伪造（CSRF）、文件上传漏洞等。

2. 身份验证和授权：确保只有授权的用户能够访问应用程序的特定区域和资源。

3. 安全设计和开发：涉及资产保护、资产风险控制、网路架构设计、安全协议等方面。

4. 标准和规范：包括OWASP（全球开放网路应用程式安全项目）、PCI DSS（支付卡行业数据安全标准）等。

5. 监控和检测：实时监控应用程式上发生的事件和攻击，以及制定相应的应对策略。

6. 紧急应对和事件管理：建立应对机制，及时处理已发生的安全事件，迅速恢复服务。

7. 学习和培训：提升开发团队的安全意识、技术水平、持续改进WebApplication的安全性。

知识测验

1. 什么是XSS攻击？该如何避免这种攻击？

2. 为什么HTTPS比HTTP更安全？你知道SSL和TLS协议的区别吗？

3. 如何保护Web应用程序免受SQL注入攻击？条件语句的使用是否会使Web应用程序更加安全？

4. 什么是CSRF攻击？如何实施CSRF攻击？该如何避免这种攻击？

5. 如何安全地存储用户密码？有哪些安全性最高的哈希函数？

答案：

1. XSS攻击指的是跨站脚本攻击，攻击者通过将恶意代码插入到网页中，使得网站向来访者发送恶意请求或窃取敏感信息。为了避免XSS攻击，可以使用输入验证，输出编码，HTTP标头等方法。

2. HTTPS比HTTP更安全是因为HTTPS通过SSL / TLS加密协议将所有数据加密传输，以确保数据在传输过程中不被窃取或修改。SSL和TLS是相似但不完全一样的协议，其中SSL是较旧的协议，TLS是其更新的版本。

3. 可以使用SQL参数化或存储过程等方法来防止SQL注入攻击。使用条件语句本身不会使Web应用程序更加安全，而是在语句中使用参数化可以使其更加安全。

4. CSRF攻击是跨站请求伪造攻击，攻击者通过冒充受害者的身份在不知情的情况下发送恶意请求。要防止CSRF攻击，可以使用CSRF令牌、同源检查等方法来验证请求。

5. 可以使用加盐哈希算法来安全地存储用户密码，例如BCrypt、SHA-256等。加盐哈希算法可以将密码加密并添加随机生成的盐值，以提高安全性。