網(wǎng)站建設定制服務器端防御措施
- 編輯：admin -開發(fā)人員要對用戶輸入的一切信息持不可信任的態(tài)度, 對用戶輸入的信息進行嚴格過濾, 過濾時不僅考慮諸如“javascript”, “<”, “>”, “HTML”等特殊字符, 還要考慮大小寫、字符間的空格及對輸入的數(shù)據(jù)進行轉(zhuǎn)義保存, 在輸出時再進行還原等問題.
服務器端防御措施。(1) 過濾用戶的輸入信息。開發(fā)人員要對用戶輸入的一切信息持不可信任的態(tài)度, 對用戶輸入的信息進行嚴格過濾, 過濾時不僅考慮諸如“javascript”, “<”, “>”, “HTML”等特殊字符, 還要考慮大小寫、字符間的空格及對輸入的數(shù)據(jù)進行轉(zhuǎn)義保存, 在輸出時再進行還原等問題.
(2) 限制用戶輸入的文本長度和數(shù)據(jù)類型。開發(fā)人員可以在數(shù)據(jù)庫端或表單中對用戶輸入的文本長度、數(shù)據(jù)類型、格式進行嚴格限制, 以起到有效的防范作用.
(3) 檢測上傳的圖片格式。開發(fā)人員需要對用戶上傳的圖片進行檢測, 檢驗其是否是正確的圖片格式或者是否是偽格式, 圖片服務器盡量不開啟程序 (如JAVA, PHP, .NET) 功能或?qū)D片格式進行程序解析.
(4) 防御CSRF。在Web應用程序中防御CSRF漏洞, 可以通過HTTP Referer來判斷輸入端的URL來源, 或者使用Token或JavaScript看不見的驗證碼來檢驗用戶的身份.
(5) 使用入侵檢測系統(tǒng)。通過在Web服務器端安裝基于攻擊手法或者基于攻擊原理檢測的入侵檢測系統(tǒng)來防御跨站腳本攻擊, 如在文獻中提出的跨站腳本檢測系統(tǒng) (XSSDS) 可以使用3個策略發(fā)現(xiàn)攻擊行為, 并使用4個策略發(fā)現(xiàn)跨站腳本代碼.