Web應用安全

習題預習

1. 什麼是Web應用程式攻擊，有哪些常見的攻擊手段？
2. 如何設計一個安全的Web應用程式？需要考慮哪些方面？
3. Web應用程式中，如何避免SQL注入、跨站腳本等常見攻擊？
4. Web應用程式中的會話安全問題是什麼？如何設計安全的會話管理系統？
5. 如何檢測Web應用程式中的漏洞？有哪些常用的漏洞掃瞄工具和技術？

說明知識

Web Application Security（網路應用程式安全性）是指保護網路應用程式不受到未授權的存取、資訊洩漏、破壞攻擊等安全威脅的措施和技術。Web應用程式包括網路商店、網路銀行、網路郵件、社交媒體等等。

舉例來說，當一家銀行網路應用程式遭到攻擊時，攻擊者可能會嘗試入侵該銀行的伺服器，盜取客戶的資訊或造成金融損失。為了保護網路應用程式的安全性，銀行可以採取一系列的措施，例如使用強密碼、身份驗證、SSL加密技術、反向代理等技術，提高網路應用程式的安全性，保護客戶的資訊不受到威脅。另外，銀行也需要持續監控網路安全狀況，如發現異常情況及時採取應對措施。

總之，Web Application Security對於確保網路應用程式的安全性非常重要，尤其對於金融、電子商務等強調安全性的行業更是必不可少的。

條列重點

1. 常見的攻擊方式：包括SQL注入、跨站腳本（XSS）攻擊、跨站請求偽造（CSRF）、文件上傳漏洞等。

2. 身份驗證和授權：確保只有授權的用戶能夠訪問應用程序的特定區域和資源。

3. 安全設計和開發：涉及資產保護、資產風險控制、網路架構設計、安全協議等方面。

4. 標準和規範：包括OWASP（全球開放網路應用程式安全項目）、PCI DSS（支付卡行業數據安全標準）等。

5. 監控和檢測：實時監控應用程式上發生的事件和攻擊，以及製定相應的應對策略。

6. 緊急應對和事件管理：建立應對機制，及時處理已發生的安全事件，迅速恢復服務。

7. 學習和培訓：提升開發團隊的安全意識、技術水平、持續改進WebApplication的安全性。

知識測驗

1. 什麼是XSS攻擊？該如何避免這種攻擊？

2. 為什麼HTTPS比HTTP更安全？你知道SSL和TLS協議的區別嗎？

3. 如何保護Web應用程序免受SQL注入攻擊？條件語句的使用是否會使Web應用程序更加安全？

4. 什麼是CSRF攻擊？如何實施CSRF攻擊？該如何避免這種攻擊？

5. 如何安全地存儲用戶密碼？有哪些安全性最高的哈希函數？

答案：

1. XSS攻擊指的是跨站腳本攻擊，攻擊者通過將惡意代碼插入到網頁中，使得網站向來訪者發送惡意請求或窃取敏感信息。為了避免XSS攻擊，可以使用輸入驗證，輸出編碼，HTTP標頭等方法。

2. HTTPS比HTTP更安全是因為HTTPS通過SSL / TLS加密協議將所有數據加密傳輸，以確保數據在傳輸過程中不被窃取或修改。SSL和TLS是相似但不完全一樣的協議，其中SSL是較舊的協議，TLS是其更新的版本。

3. 可以使用SQL參數化或存儲過程等方法來防止SQL注入攻擊。使用條件語句本身不會使Web應用程序更加安全，而是在語句中使用參數化可以使其更加安全。

4. CSRF攻擊是跨站請求偽造攻擊，攻擊者通過冒充受害者的身份在不知情的情況下發送惡意請求。要防止CSRF攻擊，可以使用CSRF令牌、同源檢查等方法來驗證請求。

5. 可以使用加鹽哈希算法來安全地存儲用戶密碼，例如BCrypt、SHA-256等。加鹽哈希算法可以將密碼加密並添加隨機生成的鹽值，以提高安全性。