Web 攻防之業(yè)務(wù)安全：輸入 / 輸出模塊測試.
業(yè)務(wù)安全是指保護業(yè)務(wù)系統(tǒng)免受安全威脅的措施或手段。廣義的業(yè)務(wù)安全應(yīng)包括業(yè)務(wù)運行的軟硬件平臺（操作系統(tǒng)、數(shù)據(jù)庫，中間件等）、業(yè)務(wù)系統(tǒng)自身（軟件或設(shè)備）、業(yè)務(wù)所提供的服務(wù)安全；狹義的業(yè)務(wù)安全指業(yè)務(wù)系統(tǒng)自有的軟件與服務(wù)的安全。
目錄：
輸入 / 輸出模塊測試：
測試原理和方法：
測試過程：
（1）SQL注入漏洞測試：
（2）XSS漏洞測試：
（3）命令執(zhí)行漏洞測試：
防御方法建議：
（1）SQL注入漏洞防御方法建議：
（2）XSS漏洞防御方法建議：
（3）命令執(zhí)行漏洞防御方法建議：
免責(zé)聲明：
嚴(yán)禁利用本文章中所提到的技術(shù)進行非法攻擊，否則后果自負(fù)，上傳者不承擔(dān)任何責(zé)任。
輸入 / 輸出模塊測試：
測試原理和方法：
輸入 / 輸出模塊可能存在：SQL注入，XSS，命令執(zhí)行等漏洞.
測試過程：
（1）SQL注入漏洞測試：https://tianyuk.blog.csdn.net/article/details/122903983
（2）XSS漏洞測試：①?https://tianyuk.blog.csdn.net/article/details/123396714
?????????????????????????????????? ②?https://tianyuk.blog.csdn.net/article/details/123555545
（3）命令執(zhí)行漏洞測試：https://tianyuk.blog.csdn.net/article/details/122916853
防御方法建議：
（1）SQL注入漏洞防御方法建議：
① 限制數(shù)據(jù)類型
② 正則表達式匹配傳入?yún)?shù)
③ 函數(shù)過濾轉(zhuǎn)義
④ 預(yù)編譯語句
（2）XSS漏洞防御方法建議：
① 可在 cookie 中設(shè)置 httponly.（瀏覽器禁止頁面的js訪問帶有httponly屬性的cookie）
② 輸出檢查.（編碼，轉(zhuǎn)義，常用編碼：html編碼，js編碼，16進制等) ③ xss filter.（檢查輸入，設(shè)置白名單方式） ④ 針對不同位置的輸出，使用不同的處理方式.
⑤ 后臺可能存在過濾措施，構(gòu)造的 script 可能會被過濾掉，而無法生效或者環(huán)境限制了執(zhí)行.（瀏覽器） ⑥ 處理富文本?.header?中使用 content-Sencurity-Policy 字段，規(guī)定請求?js?的域名白名單.（CSP策略）
（3）命令執(zhí)行漏洞防御方法建議：
① 對傳入的命令做一個嚴(yán)格的過濾.
② 盡可能不要使用外部執(zhí)行命令
③ 盡可能使用?escapeshellarg?函數(shù)來處理傳入的命令參數(shù).
? ?文章來源：http://www.zghlxwxcb.cn/news/detail-423938.html
? ? ?文章來源地址http://www.zghlxwxcb.cn/news/detail-423938.html
到了這里，關(guān)于Web 攻防之業(yè)務(wù)安全：輸入 / 輸出模塊測試.的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
