前端

CSRF 跨站请求伪造
　　客户端添加伪随机数，后台验证
　　验证码
中间人攻击
　　SSL证书加密
xss(跨站脚本攻击)漏洞，微软的字符检验（自动）
　　文本展示编码处理
　　做标签展示的文本尤其过滤脚本
Cookie HttpOnly
　　HttpOnly情况下js不能操作cookie,在一定情况下能够保证安全性
域设置
　　cookie域匹配（domian match)原则：Domain 形如.abc.com的cookie,会被发送给所有abc.com在80端口上的子域请求。反之不行。
　　最小化授权
Secure 启用此属性，浏览器仅仅会在Https请求中发送Cookie
Cookie 基础
　　名称不能包含特殊字符，转码后可以
　　值可以转码或加密
　　Expires 过期时间，GMT格式，不设时间关闭浏览器时自动删除，
　　Path 允许的路劲，"/" 表示全站
　　Domain 子域，
　　Secure 如果启用则只能https能访问
　　HttpOnly 脚本（js,applet)无法读取到Cookie信息

后台

Sql注入
　　预编译语句，就是客户端输入的数据作为参数传入sql中，不直接拼接
　　关闭错误显示，避免暴漏程序结构
　　数据库连接账户权限限制，（单独数据库的数据增删改查）
文件上传
　　后缀名判断（限制在图片格式）
　　判断文件前两个字符，如png的前两个二进制字符为8950，jpg为ffd8
　　用图片类初始化 获取width,height <=0的 屏蔽
　　文件重命名 （默认不显示目录，改名后，攻击者很访问）
认证与会话管理
　　密码 长度，组合，加密处理，3次后验证码，最多5次 封ip，支付密码，短信验证码
　　session过期时间
访问权限控制
　　后台权限系统，角色-功能点

跨域数据

jsonp,js功能，都支持
cors 跨域资源共享， ie8以上，其他大都支持，服务端在web上设置标识，支持哪些域名数据

web安全记录的更多相关文章

  1. ASP.NET Web API 记录请求响应数据到日志的一个方法

    原文:http://blog.bossma.cn/dotnet/asp-net-web-api-log-request-response/ ASP.NET Web API 记录请求响应数据到日志的一个 ...

  2. 解决Apache的错误日志巨大的问题以及关闭Apache web日志记录

    调整错误日志的级别 这几天 apache错误日志巨大 莫名其妙的30G  而且 很多都是那种页面不存在的  网站太多了  死链接相应的也很多于是把错误警告调低了 因为写日志会给系统带来很大的损耗.关闭 ...

  3. 实验吧web解题记录

    自以为sql注入掌握的还是比较系统的,然而,做了这些题之后才发现,大千世界无奇不有,真是各种猥琐的思路...还是要多学习学习姿势跟上节奏 登录一下好吗?? http://ctf5.shiyanbar. ...

  4. 切面保存web访问记录

    package com.hn.xf.device.api.rest.aspect; import com.hn.xf.device.api.rest.authorization.manager.Tok ...

  5. nginx反向代理后端web服务器记录客户端ip地址

    nginx在做反向代理的时候,后端的nginx web服务器log中记录的地址都是反向代理服务器的地址,无法查看客户端访问的真实ip. 在反向代理服务器的nginx.conf配置文件中进行配置. lo ...

  6. 相关web 片段记录安全性研究（不时更新）

    一.有关html/css, js, php, cgi 的一些认识 当我们浏览器訪问一个网站的静态文件.会把文件内容都下载下来(一般压缩).当然假设遇到外联的css/js,会再发起请求得 到.假设我们右 ...

  7. web api 记录部署IIS获取服务器地址的类型

    获取服务器地址类型分多种,以下记录 1.HttpContext.Current.Server.MapPath("~/File") 返回的值为 D:\3Project\Code\Mo ...

  8. web socket (记录下来方便观看)

    Web Sockets HTML5 WebSocket 设计出来的目的就是要取代轮询和 Comet 技术,使客户端浏览器具备像 C/S 架构下桌面系统的实时通讯能力. 浏览器通过 JavaScript ...

  9. ubuntu下搭建hive(包括hive的web接口)记录

    Hive版本 0.12.0(独立模式) Hadoop版本 1.12.1 Ubuntu 版本 12.10 今天试着搭建了hive,差点迷失在了网上各种资料中,现在把我的经验分享给大家,亲手实践过,但未必 ...

  10. 借助 AOP 为 Java Web 应用记录性能数据

    作为开发者,应用的性能始终是我们最感兴趣的话题之一.然而,不是所有的开发者都对自己维护的应用的性能有所了解,更别说快速定位性能瓶颈并实施解决方案了. 今年北京 Velocity 的赞助商大多从事 AP ...

随机推荐

  1. 【iOS】objective-c 文档生成工具 appledoc

    最近做ios framework的一些测试,提供给其他开发者使用的framework,API文档变得更加重要,以前没有接触过,这次尝试使用了一把appledoc来生成一下文档,感觉还不错. 首先,是从 ...

  2. Fragment之一：Fragment入门

    参考自张泽华视频 Fragment是自Android3.0后引入的特性,主要用于在不同的屏幕尺寸中展现不同的内容. Fragment必须被嵌入Activity中使用,总是作为Activity的组成部分 ...

  3. 快速解决js开发下拉框中blur与click冲突

    在开发中我们会经常遇到blur和click冲突的情况.下面叙述了开发中常遇到的"下拉框"的问题,并提供了两种解决方案. 一.blur和click事件简述 blur事件:当元素失去焦 ...

  4. Fragment 之 PagerAdapter

    package com.edaixi.main.adapter; import android.content.Context; import android.support.v4.view.Page ...

  5. jQuery 方法

    方法 描述 animate() 对被选元素应用"自定义"的动画 clearQueue() 对被选元素移除所有排队函数(仍未运行的) delay() 对被选元素的所有排队函数(仍未运 ...

  6. 协同办公平台Worktile体验分享（转）

    自从组建团队以来,做的每一个项目.每一次活动,电脑里就会存放了N个不同名称的相同文档, 工作内容.资源文档非常零散,严重影响了工作效率. 之前用Dropbox共享文档,结果被墙了.用印象笔记,结果一个 ...

  7. python实现简单表单校验框架

    # encoding=utf-8 from app.models import Student from flask import g import re from flask.ext.wtf imp ...

  8. lda模型的python实现

    LDA(Latent Dirichlet Allocation)是一种文档主题生成模型,最近看了点资料,准备使用python实现一下.至于数学模型相关知识,某度一大堆,这里也给出之前参考过的一个挺详细 ...

  9. Ubuntu配置OpenGL环境

    建立基本编译环境 sudo apt-get install build-essential 安装OpenGL Library sudo apt-get install libgl1-mesa-dev ...

  10. Ring3 和Ring0 解释

    这得从CPU指令系统(用于控制CPU完成各种功能的命令)的特权级别说起.在CPU的所有指令中,有一些指令是非常危险的,如果错用,将导致整个系统崩溃.比如:清内存.设置时钟等.如果所有的程序都能使用这些 ...