|
|
|
联系客服020-83701501

技术层面的web安全构架

联系在线客服,可以获得免费在线咨询服务。 QQ咨询 我要预约
技艺层面的网站安全构架

本年WebSense安全实行室的调查显示:39%的Web?攻击目的是停止数据盗取,更有20%间接被人刷了库;

年初,乌云平台陈说了某上市公司客户质料数据库被盗取,数据库质料搜罗了用户的手机、暗码、邮箱、身份证、住址、家庭成员动态、临盆记录(这个较量急速),他们感到鸭梨很大,所以得此机会,为他们的几千万用户筹划数据安全筹算;

0x01 理解骇客

Web?漏洞?->?Web?Shell?->?读配置文件想找到数据库配置毗邻?->?找到也许毗邻到数据库的置信处事器?->?连上数据库拖库、刷库;

涵盖倾向太广,想真正筹算标题,找专业的代码审计、危害评估专家.

0x02 Web?Shell

对步调员停止专业的安全培训,千万不要置信伪专家,找潜心的、靠谱的!如何甄别伪专家呢?所谓伪专家就是那种love说颠末自己的处理后你的细碎1定不会有事 就像《动态安全常见误区》1文中写的:

有个安全专家给我们诊断过了,说我们细碎稳如泰山,万无1失。

那末请向那位专家竖起您的中指。

0x03 读取配置文件

来到了代码级,你们步调员基本能玩死那些小瘪三骇客了,配置动态加密大要藏起来,自己想设施。大1点的企业,都是间接SOAP了,写WebService取数据的。。。

0x04 数据库处事器ACL

惨酷的接见会面会面管教,粒度紧记细化(数据库用户权限),只核准来自WebService宿主处事器,接见会面会面数据库。端口级+动静IP策略。

0x05 数据积极避免

既然骇客的最终目的是盗取数据、改动数据,那就把数据加密,解密密匙藏起来。

此刻的架构是.NET做WebServic为前端多个业务细碎供应数据回调,数据库操纵的MSSQL,部门数据利用流程如下:

取数据:Web前端->毗邻配置数据库取对应的WebService->WebService取数据->DB

提交数据:Web前端->毗邻配置数据库取对应的WebService->WebService提交数据库->DB

我的倡导

1些要害字段在入库时,先颠末AES加密,再将加密后的模式存储进数据库。

AES 密匙,写死在WebService端的某个文件内,写好后,用VS自带的DotFuscator将.NET的WEB源代码搅浑,PHP也许采用Zend的 源代码关心筹算。(最多此刻还很少有人或许将源代码搅浑后的密文完残缺整的回复复兴进去。);WEB前端,用密匙解密给客户端。

他们还有1个数据审计局部须要针对用户数据停止数据发掘:

我的倡导

分别1个数据审计安全VLAN,不允来自任何网络的接见会面会面,颠末你的密匙回复复兴1份原始数据用来做审计,安全域1定要分别隔绝。

0x06 财政关心:(刻期给他们讲的1个例子,事后想用3DES的,事后想想没谁人须要了。)

采用?AES?算法,每个用户设置1个独立的FACEID,作为加密、解密的密匙;

uid?=?1063200;?FACEID?=?8baceca0-15e7-11e1-be50-0800200c9a66;

创立1个?dencode?和?ddecode?函数,用来针对用户的账户余额(CARD_BALANCE)在SQL中停止计算。

更 改用户余额 为:1000update?CARD_MEMCARD?set?CARD_BALANCE=d_encode(‘1000′,’8baceca0-15e7-11e1- be50-0800200c9a66′)?where?CARD_UID_CD=’1063200′;

究诘用户的手机号和余额:select?MEM_MOBIL_PHONE,?d_decode(CARD_BALANCE,’8baceca0-15e7-11e1-be50-0800200c9a66′)?where?CARD_UID_CD=’1063200’;

我事后还想到的1个风雅动作就是:数据库的表名、字段名停止搅浑,不要让骇客1眼就看出CARD_BALANCE是用户余额的字段。

文章作者ring04h本文由网络安全攻防钻研室(www.91ri.org)动态安全小组搜集整顿,转载请注名来由!

数安新闻+更多

证书相关+更多