风险类型说明和处理建议手册

.1 Web攻击

风险描述：

主要是指常见的Web类型攻击，包括SQL注入、命令注入、代码注入、跨站脚本攻击、协议错误等，一般是由攻击人员尝试构造特殊的SQL语句、系统命令、脚本、java代码等，发送请求，来触发WEB服务器上未经发现的，或者未经修复的漏洞，然后利用这些漏洞，进行恶意行为：获取敏感数据，执行数据库操作、操作系统命令/程序代码等。

处理建议

1、首先需确认攻击源和目标主机所处网络位置，对于内网向外发起的攻击行为，建议通过对源主机进行访问限制阻止攻击行为，并检查该内部主机是否有其他异常访问行为，需要确定是否被黑客控制。

2、对于来自外部的攻击行为，需要针对对所有输入提交可能执行命令的构造语句进行严格的检查或者控制外部输入，系统命令执行函数的参数不允许外部传递。

3、规范网站代码，对输入数据验证类型、格式、长度、范围和内容

4、对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。

5、优化必要的网络隔离或访问控制策略。

6、在发布应用程序之前测试所有已知的威胁，进行安全性测试。

7、进行持续的漏洞检测和管理，开启防火墙的实时漏洞检测功能。

8、及时下载补丁包升级。

2 Web后门访问

风险描述

攻击者试图上传或访问Web服务器端的可执行环境，该环境也被称为Webshell，通常以asp、php、jsp或者cgi等网页文件形式存在，是一种网页后门，具备非常强的隐蔽性、威胁性和难以防范性，攻击者会将这些文件传递给应用解释器，就可以在远程服务器上执行任意脚

最后

以上就是尊敬鞋子为你收集整理的风险类型说明和处理建议手册的全部内容，希望文章能够帮你解决风险类型说明和处理建议手册所遇到的程序开发问题。

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。