s****y
发帖数: 503 | 1 面试被问到web security, vulnerabilities，secure coding practices之类的问题。
我说只知道SQL injection，还有哪些可说的？
如果回答XSS，那么应该怎么解决XSS呢？ | g*****g
发帖数: 34805 | 2 这个 topic太大了一点，包括authentication and authorization, https, cookie
generation and protection, xss and xsrf 等等。
【在 s****y 的大作中提到】
: 面试被问到web security, vulnerabilities，secure coding practices之类的问题。
: 我说只知道SQL injection，还有哪些可说的？
: 如果回答XSS，那么应该怎么解决XSS呢？
| k****i
发帖数: 1072 | 3 owasp
【在 s****y 的大作中提到】
: 面试被问到web security, vulnerabilities，secure coding practices之类的问题。
: 我说只知道SQL injection，还有哪些可说的？
: 如果回答XSS，那么应该怎么解决XSS呢？
| w**z
发帖数: 8232 | 4 和J2EE 有啥关系？
【在 s****y 的大作中提到】
: 面试被问到web security, vulnerabilities，secure coding practices之类的问题。
: 我说只知道SQL injection，还有哪些可说的？
: 如果回答XSS，那么应该怎么解决XSS呢？
| a*f
发帖数: 1790 | 5 Session Hijacking
Session Fixation
Url Hijacking
User ... (forgot the right word, test if the user id has been used in your
system)
Leave no important or sensitive data in Web Cache
HTTPS
Setup Access Rules for all URL resources
Multi-factor authentication
Certified Password Manager and Generator, Use long password such as 1K (
applicable to some users who can do multi-factor authentication)
字典登录攻击
White-listing IPs for Internal Servers, Never Expose Internal Server to
Public Access
Regular Expression or Other DDoS
Minimum Necessary Rights
Post vs. Get Coding Practice
Audit Log for Security-Required Access or Data Change
Of course, SQL-Injection and XSS are most important
【在 s****y 的大作中提到】
: 面试被问到web security, vulnerabilities，secure coding practices之类的问题。
: 我说只知道SQL injection，还有哪些可说的？
: 如果回答XSS，那么应该怎么解决XSS呢？
| a*f
发帖数: 1790 | 6 For XSS, do not trust any user's input or url parameters unless you verify
and escape it.
【在 a*f 的大作中提到】
: Session Hijacking
: Session Fixation
: Url Hijacking
: User ... (forgot the right word, test if the user id has been used in your
: system)
: Leave no important or sensitive data in Web Cache
: HTTPS
: Setup Access Rules for all URL resources
: Multi-factor authentication
: Certified Password Manager and Generator, Use long password such as 1K (
|
|
