WSV 让网站更加安全的几个小 妙招 徐栋 北京中达金桥技术服务有限公司

Transcription

1

2 WSV 让网站更加安全的几个小 妙招 徐栋 北京中达金桥技术服务有限公司

3 小提示

4 网络安全不 能亡羊补牢

5 安全基础

6 No upsniff from image/* X-Content-Type-Options: nosniff Option to force file save: Content-Disposition: attachment;filename= foo.doc ; X-Download-Options: NoOpen

7

8 适当的采用 SSL 对于混合内容给出提示 随时升级服务器 采用恰当的密码保护策略

9 绝不要相信用户

10 基于 Microsoft Anti-XSS Library 对客户端字符串进行处理 window.tostatichtml("this is some <b>html</b> with embedded script following... <script>alert('bang!');</script>!"); 输出结果 : This is some <b>html</b> with embedded script following...!

11 对于用户的输入, 不要依赖客户端验证 使用 tostatichtml() 处理客户端输入内容

12 SQL 注入攻击

13 Source:

14 约束用户输入 使用安全的 SQL 参数 SqlDataAdapter mycommand = new SqlDataAdapter("AuthorLogin", conn); mycommand.selectcommand.commandtype = CommandType.StoredProcedure; SqlParameter parm = mycommand.selectcommand.parameters.add("@au_id", SqlDbType.VarChar, 11); parm.value = Login.Text; 使用转码 private string SafeSqlLiteral(string inputsql) { return inputsql.replace("'", "''"); }

15 假定所有的用户输入都是邪恱的 使用参数化的方式来构建查询字符串

16 跨站脚本攻击

17 Researcher Bryan Sullivan Steal cookies Log keystrokes Deface sites Steal credentials (of a sort) Port-scan the Intranet Launch CSRF Steal browser history Abuse browser/ax vulnerabilities Evade phishing filters Circumvent HTTPS

18 源脚本 : <SCRIPT src= 脚本模板 : <SC{R}IPT src => 中性脚本 : <SC#IPT src=

19 使用 ASP.NET Anti-Cross Site Scripting Library 禁用 US-ASCII 代码页 禁用 UTF-7 代码页嗅探 修复代码页其他的 Bug 标准模式中, 禁用 CSS 表达式

20 ClickJacking 攻击

21 演示 ClickJacking

22 <iframe AllowTransparency="Yes" style="position:absolute; left:0px; top:30px; width: 581px; height: 1000px; z-index: 5;" id="i1" src=" name="i1" border="0" frameborder="0" class="style2"> Frames disabled. </iframe> <div style="margin: 10px; position: absolute; top:160px; left:0px; width:600px; height:380px; background: white; z- index:10"> <img height="380" src="cat.gif" width="760" /> </div>

23 使用 HTTP Response Header X-Frame-Options 如果是 X-Frame-OPTIONS: SAMEORIGIN, 那么这个页面只能被嵌入在 与 TOP 页面同源 的页面中

24 Native JSON

25 {"Weather": { "City": "Seattle", "Zip": 98052, "Forecast": { "Today": "Sunny", "Tonight": "Dark", "Tomorrow": "Sunny" } }}

26 Native JSON API 基于 JSON 2, 并成为 ECMAScript 5 的标准 JSON.stringify() JSON.parse()

27 使用 eval() 解析服务端与客户端传递的 JSON 数据 确认当前使用的库支持 JSON

28 构建 Mash-Ups

29 为 Web 开发人员提供一种安全的跨域通讯机制 为两个域建议一种可信赖的对象消息传输机制 HTML5 标准

30 // Find target frame var oframe = document.getelementsbytagname('iframe')[0]; // postmessage will only deliver the 'Hello // message if the frame is currently // at the expected target site oframe.contentwindow.postmessage('hello', '

31 // Listen for the event. For non-ie, use // addeventlistener instead. document.attachevent('onmessage', function(e){ if (e.domain == 'expected.com') { // e.data contains the string // We can use it here. But how? } });

32 提供一种明确的跨域机制 为 Web 开发人员提供了安全的跨域通讯 W3C 的标准

33 // Creates a new XDR object xdr = new XDomainRequest(); xdr.onload = alert_loaded; xdr.timeout = timeout; xdr.open("get", url); // The request is then sent to the server xdr.send();

34 采用 Cross Document Messaging 在页面的 iframe 间传递数据 采用 Cross Domain Requests 实现跨域数据传递

35 疑问和解答

36 参考资源 ASP.NET Silverlight Expression Internet Explorer

37

38 2008 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.