ku酷游官网-ku酷游网络股份有限公司

　　最好方法是过滤掉GET和POST参数中所有的圆点字符。解析引擎也需要注意发现以Unicode和十六进制编码表示的圆点字符。

　　强制所有的读取都从一个特定的目录开始，并使用正则表达式过滤去掉文件名前所有的路径信息。

　　不一定对程序造成破坏，可以产生详细的错误信息，帮助识别平台的细节，为SQL注入攻击揭示数据库详细信息。

　　由于缺乏安全编程和数据库安全配置而导致的，并不是缺少数据库本身的安全补丁

　　在参数后面添加一些非法或不期望的字符，然后观察应用程序是否会响应错误信息。

　　select/**/column/**/from/**/table/**/where/**/clause

　　select(space(1))columnt(space(1))fromt(space(1))tablet(space(1))wheret(space(1))clause

　　--和apos;--符号，将查询的剩余部分作为注释(替换符号)

　　XML允许一个文档或文件通过使用外部实体而嵌入到原始的XML文档里。 实体就像XML的快捷方式，它们允许一个标签与特定文本块或其他数据关联，插入到XML中

　　对策，禁止外部实体，对XML解析器指定一个处理器，当遇到外部实体时就中止处理。

　　使用一个单独的服务器作为多个服务器远程管理的终端，而不是在每个Web服务器上都配置管理服务

　　http底层服务器软件攻击，如IIS，apache，asp.net，php

　　剖析是用来研究和查明Web站点如何架构，以及它们的应用程序如何工作的策略。

　　使用各种基于Internet的调查方法，来确定目标应用程序或组织的范围。

　　原因：安全意识提高，新的产品和技术去掉明显的Banner信息，或者返回虚假的信息，欺骗攻击者。

　　备份文件或日志目录：/.bak/backup/log/logs/archive/old

　　文件包含目录：/include/inc/js/global/local/

　　调用文件采用与Web根目录或当前目录的相对路径名，不要使用包含了驱动盘符号或Web文档根目录之外目录的完整路径名，去掉目录遍历字符(../../)

　　会明显减缓密码猜测攻击的进程，配合好的密码策略，会在安全性和可用性间达到很好的平衡

　　输入验证是防范Web站点攻击中起到了很大作用，执行输入验证可防范SQL注入、脚本注入、和命令执行。

　　基于RFC2109，使用SetCookies响应头的“Secure”参数来标记Cookie。