7、Web应用程序中的安全向量 -- 使用Retail部署配置

该方法不需要胡乱地编辑各个配置设置,而是利用了ASP.NET特性:Retail部署配置. 部署配置是服务器的machine.config文件(在%windir%\Microsoft.NET\Framework\<frameworkverision>\Config目录下)中的一个简单开关,用来标识ASP.NET是否在Retail部署模式下运行.该部署配置由于两个设置:retail要么是true要么是false. deployment/retail默认值是false; <system.web…

Web 应用程序中的安全向量 – ASP.NET MVC 4 系列

Web 程序运行在标准的.基于文本的协议(HTTP 和 HTML)之上,所以特别容易受到自动攻击的伤害.本章主要介绍黑客如何滥用应用程序,以及针对这些问题的应对措施. 威胁:跨站脚本攻击(XSS) XSS 攻击在 Web安全威胁上排名第一,然而遗憾的是,导致 XSS 猖獗的主要原因是开发人员不熟悉这种攻击.可以使用 2 种方法实现 XSS: 被动注入(Passive Injection):通过用户将恶意的脚本命令输入到网站中,而这些网站又能接收"不干净"…

6、Web应用程序中的安全向量 -- customErrors（适当的错误报告和堆栈跟踪）

几乎所有的网站在开发过程中都在web.config文件中设置了特性<customErrors mode="off">. customErrors模式有3个可选的设置项: on:服务器开发的最安全选项,因为它总是隐藏错误提示信息. RemoteOnly:向大多数用户展示一般的错误提示信息,但向拥有服务器访问权限的用户展示完整的错误提示信息. Off:最容易受到攻击的选项,它向访问网站的每个用户展示详细的信息.详细的错误信息可能会暴露应用程序的内部结构. 设置customErr…

3、Web应用程序中的安全向量 -- cookie盗窃

作为用户,为了防止cookie盗窃,可以在浏览器设置中选择"禁用cookie",但是这样做很可能导致在访问某个站点的时候弹出警告"该站点必须使用cookie". cookie主要有两种形式: 会话cookie: 存储在浏览器的内存中,在浏览器的每次请求中通过Http Header进行传递: 持久cookie: 存储在计算机硬盘文件中,在浏览器的每次请求中通过Http Header进行传递. 二者的权标在于,站点在会话结束时,会忘记会话cookie,但持久cookie…

1、Web应用程序中的安全向量 -- XSS跨站脚本攻击

XSS攻击(跨站脚本攻击)的概念: 用户通过网站页面的输入框植入自己的脚本代码,来获取额外的信息. XSS的实现方式: (1)通过用户将恶意的脚本命令输入到网站中,而这些网站又能够接收"不干净"用户输入,称为"被动注入",用户把"不干净"的内容输入到文本框中,并把这些内容保存到数据库中,以后再重新在页面上显示. (2)通过直接在页面上显示的用户输入,称为"主动注入".用户将"不干净"的内容输入到文本框中,这…

5、Web应用程序中的安全向量 -- Open Redirect Attack（开放重定向）

开放重定向攻击的概念:那些通过请求(如查询字符串和表单数据)指定重定向URL的Web应用程序可能会被篡改,而把用户重定向到外部的恶意URL. 在执行重定向之前需先检查目标地址的有效性,可使用Url.IsLocalUrl()方法检测目标地址是否属于该站点,如果属于该站点,则继续执行重定向,如果不属于该站点,则做出相应的处理.…

2、Web应用程序中的安全向量 -- CSRF/XSRF（跨站请求伪造）

CSRF的概念可以分为两类:XSS和混淆代理. 混淆代理中的"代理"是指用户的浏览器.CSRF是基于浏览器的工作方式运作的.用户登录到一个站点后,用户的信息将会存储在cookie中(会话cookie或者持久cookie),通过这两种cookie中的任何一种,浏览器会告诉站点这是一个真是用户发出的请求. 使用XSS加混淆代理来实现对用户攻击的能力正式CSRF的核心. CSRF使得用户在不知情的情况在,使用自己真实的用户信息,去执行了黑客植入的恶意的脚本或者链接,造成非正常的操作. 阻止C…

4、Web应用程序中的安全向量 -- over-posting（重复提交）

模型绑定是ASP.NET MVC提供的强大功能,可遵照命名约定将输入元素映射到模型属性,从而极大地简化了处理用户输入的过程,然而,这也成为了攻击的另一种没接,给攻击者提供了一个填充模型属性的机会,右下时候填充的这些属性甚至都没有在输入表单中. 使用 [Bing] 特性防御重复提交攻击 1.可以使用Bing白名单来指定模型绑定的字段,比如 [Bing(Include="Name,Comment")] 也可以使用黑名单来排除禁止绑定的字段,比如 [Bind(Exclude="ID…

在 ASP.NET MVC Web 应用程序中输出 RSS Feeds

RSS全称Really Simple Syndication.一些更新频率较高的网站可以通过RSS让订阅者快速获取更新信息.RSS文档需遵守XML规范的,其中必需包含标题.链接.描述信息,还可以包含发布时间.最后更新时间等信息. 本文将介绍通过LINQ to XML生成XML文档,并在ASP.NET MVC Web应用程序中输出. 在生成RSS文档前,先简单了解一下RSS的结构.根节点rss下有channel节点,channel节点的一些子节点(title,link,description)包含…

Java嵌入式数据库H2学习总结(二)——在Web应用程序中使用H2数据库

一.搭建测试环境和项目 1.1.搭建JavaWeb测试项目创建一个[H2DBTest]JavaWeb项目,找到H2数据库的jar文件,如下图所示: H2数据库就一个jar文件,这个Jar文件里面包含了使用JDBC方式连接H2数据库时使用的驱动类,将"h2-1.4.183.jar"加入到[H2DBTest]项目中,如下图所示: 1.2.开启H2数据库进入到h2\bin目录,如下图所示: 确保H2数据库使用的8082端口没有被其他应用程序占用,正常启动之后输入"http://…

在Web应用程序中执行计划任务（多线程）

在业务复杂的应用程序中,有时候会要求一个或者多个任务在一定的时间或者一定的时间间隔内计划进行,比如定时备份或同步数据库,定时发送电子邮件等,我们称之为计划任务.实现计划任务的方法也有很多,可以采用SQLAgent执行存储过程来实现,也可以采用Windows任务调度程序来实现,也可以使用Windows服务来完成我们的计划任务,这些方法都是很好的解决方案.但是,对于Web应用程序来说,这些方法实现起来并不是很简单的,主机服务提供商或者不能直接提供这样的服务,或者需要你支付许多额外的费用. 本文就介绍…

5.把报表集成到Web应用程序中-生成网页和导出两种方式

转自:https://wenku.baidu.com/view/104156f9770bf78a65295462.html 第四部分,把报表集成到Web应用程序中用MyEclipse新建一个Web Project,在WebRoot下新建一个reports文件夹,用来放ireport生成的jasper文件找到前边保存ireport报表的路径,报表在预览后,生成jasper文件,如图…

Asp.NetCore Web应用程序中的请求管道和中间件

你是否会迷惑当我们请求一个ASP.NetWeb应用程序以后,它是怎么处理这些请求的,后台是怎么工作的,今天就讲一下Asp.NetCore Web应用程序中的请求处理过程. 上一节,我们讲到,Startup文件中用来配置中间件(middleware),这个中间件就是用来处理请求的.那标题中的请求管道又是什么呢,其实所有的中间件就组成了一个请求管道,我们的请求,到达ASP.NetWeb应用程序,就会被送到第一个中间件中,一个个的访问,每个中间件都对请求进行处理,直到进行到最后一个中间件原路返回处理结…

web.xml文件中的7个错误的安全配置

web.xml文件中的7个错误的安全配置关于Java的web.xml文件中配置认证和授权有大量的文章.本文不再去重新讲解如何配置角色.保护web资源和设置不同类型的认证,让我们来看看web.xml文件中的一些常见的安全错误配置. (1) 自定义的错误页面没有配置默认情况下,Java Web应用在发生错误时会将详细的错误信息展示出来,这将暴露服务器版本和详细的堆栈信息,在有些情况下,甚至会显示Java代码的代码片段.这些信息对为他们的病毒需找更多信息的黑客来说是一种恩惠.幸运的是,通过配…

在web应用程序中使用MemcachedClient

本文来自:http://www.cnblogs.com/yukaizhao/archive/2008/11/10/memcached_client_usage.html 一. 背景: 在大访问量的web程序开发中,数据库常常会称为性能的瓶颈.为了缓解数据库的压力,我们频繁的使用缓存,而asp.net自带的Cache很强大,但是有先天的不足,它是进程内的缓存,当站点由多台服务器负载均衡时,当缓存在有数据更新时,我们不能同时将更新后的数据同步到两台或多台web server上.所幸的是老外的大牛开发…

如何：通过对字符串应用 HTML 编码在 Web 应用程序中防止脚本侵入

大多数脚本利用发生在用户可以将可执行代码(或脚本)插入您的应用程序时. 默认情况下,ASP.NET 提供请求验证.只要窗体发送包含任何 HTML,该验证都会引发错误. 您可以使用下列方法防止脚本利用: 对窗体变量.查询字符串变量和 Cookie 值执行参数验证. 该验证应包括两种类型的验证:可以将变量转换为所需类型(如转换为整数.日期时间等)的验证,以及所需范围或格式的验证. 例如,应该使用 Int32.TryParse 方法来检查应为整数的窗体发送变量,以验证该变量是否确实为整数. 而且,还应…

如何：通过将HTML编码应用于字符串来防止Web应用程序中的脚本漏洞

当用户可以将可执行代码(或脚本)添加到您的应用程序中时,会发生大多数脚本攻击.默认情况下,ASP.NET提供请求验证,如果表单发布包含任何HTML,则会引发错误. 您可以通过以下方式帮助防止脚本漏洞利用: 1,对表单变量,查询字符串变量和cookie值执行参数验证.此验证应包括两种类型的验证:验证变量可以转换为预期类型(例如,转换为整数,转换为日期时间等),以及验证预期范围或格式.例如,应使用Int32.TryParse方法检查旨在为整数的表单post变量,以验证变量是否为整数.此外,应检查结果…

MVC模式在Java Web应用程序中的实例分析

MVC在软件架构中是一种比较重要的架构思想,已经被广泛的应用在实际的java web项目开发中,我们所要了解和掌握的是mvc的架构思想和使用mvc模式来分析和解决问题的方法.当然相同或不同的项目都有各种分析解决的思路,这里采用一个应用struts2+hibernate+jsp的实例系统来进一步分析mvc模式. 以班级管理系统为例的架构图: 首先由用户通过VIEW层对系统进行业务请求: classAdd.jsp <%@ page language="java" import=&qu…

IIS如何避免子web应用程序中继承根目录web.config配置

1.一种方式,需要改动根目录的web.config(不是很推荐) <?xml version="1.0"?> <configuration> <location path="." inheritInChildApplications="false">  </location> &…

在Asp.net MVC 3 web应用程序中，我们会用到ViewData与ViewBag，对比一下：

Asp.net MVC中的ViewData与ViewBag ViewData ViewBag 它是Key/Value字典集合它是dynamic类型对像从Asp.net MVC 1 就有了 ASP.NET MVC3 才有基于Asp.net 3.5 framework 基于Asp.net 4.0与.net framework ViewData比ViewBag快 ViewBag比ViewData慢在ViewPage中查询数据时需要转换合适的类型在ViewPage中查询数据时不需要类型转换有…

ASP.NET MVC3 Web应用程序中启用GZip压缩示例

http://www.mzwu.com/article.asp?id=3284 自定义一个筛选器,继承于GZipAttribute: using System;using System.IO.Compression;using System.Web.Mvc; namespace MvcApplication1{ public class GZipAttribute : ActionFilterAttribute { public override void OnActi…

在web应用程序中在网页中对Web.config文件进行数据连接配置

using System; using System.Collections.Generic; using System.Configuration; using System.Web.Configuration; using System.Text; using System.IO; /// <summary> /// SystemConfig 的摘要说明 /// </summary> public static class SystemConfig { private stat…

Web标准中用于改善Web应用程序性能的各种方法总结

提起Web应用程序中的性能改善,广大开发者们可能会想到JavaScript与DOM访问等基于各种既存技术的性能改善方法.最近,各种性能改善方法被汇总成为一个Web标准. 本文对Web标准中所包含的各种Web应用程序性能改善方法做一总体介绍. 1:预先读取资源通过在link标签中指定URL将接下来极有可能要读取的Web页面或页面中的资源预先读取.例如通过对于向导页面中的“下一步”页面,登录页面中登录后的主画面中所用大尺寸的JavaScript框架中的核心文件等页面或资源文件的读取,可以大幅度提高…

【转】Tomcat中部署java web应用程序

http://www.blogjava.net/jiafang83/archive/2009/06/02/279644.html 转载:今天给大家介绍怎样在Tomcat5.5.9中部署Java Web应用程序.本文的重点是如何部署,所以暂且先不介绍怎样开发Web应用程序和怎样启动Tomcat服务器,也不考虑使用的什么开发工具,总之在练习本文所说的例子之前,你应该有一个Java Web应用程序.本文假定Web应用程序的根目录为PetWeb.而且存放在F:\下.下文中$CATALINA_HOME指的…