搜索

[6332] 2019-12-06_PythonWeb安全开发注意点

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2019-12-06_PythonWeb安全开发注意点 P y t h o n   W e b 安 全 开 发 注 意 点 E 安 全   2 0 1 9 - 1 2 - 0 6 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 N a s h N o . 1 N o . 1 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 2 N o . 2 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 因 为 之 前 运 用   d j a n g o 框 架 不 规 范 的 开 发 ， 写 了 一 堆 w e b 漏 洞 ， 之 后 学 习 了 一 波 w e b 安 全 开 发 ， 做 一 个 学 习 笔 记 。 下 面 就 针 对 这 些 常 用 问 题 做 一 些 总 结 。 都 是 基 础 ， 大 神 勿 喷 。 N o . 3 N o . 3 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 s q l 注 入 注 入 虽 然 现 在 很 多 直 接 运 用 O R M 映 射 到 数 据 库 ， 这 一 块 问 题 不 大 。 但 是 在 处 理 大 数 据 多 表 联 合 查 询 的 时 候 速 度 不 如 原 生 s q l 语 句 快 ， 运 用 了 m y s q l d b 的 库 ， 导 致 会 有 危 险 。 但 是 也 有 应 对 办 法 。 图 一 图 二 图 1   图 2   两 个 是 有 差 别 的 ， 图 二 可 以 直 接 把 单 引 号 转 义 掉 。 第 二 种 办 法 ， 在 进 入 s q l 语 句 前 ， 先 进 行 一 波 正 则 匹 配 。 比 如 对 数 字 进 行 i n t — > s t r — > i n t   强 转 , 对 一 些 敏 感 字 符 ， 例 如 s e l e c t ， >   , < , 进 行 筛 选 。 对 字 数 进 行 限 制 等 。 N o . 4 N o . 4 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 h o s t 头 验 证 头 验 证 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
漏 洞 检 查 ， f 1 2 抓 包 ， 修 改 H o s t 字 段 值 ， 发 送 ， 查 看 响 应 中 是 否 包 含 修 改 后 的 H o s t 字 段 值 。 解 决 办 法 ， 使 用 d j a n g o . h t t p . H t t p R e q u e s t . g e t _ h o s t ( )   可 以 获 取 到 h o s t ， 有 伪 造 的 话 直 接 报 错 了 ， 如 果 直 接 访 问 r e q u e s t . M E T A 则 没 有 这 效 果 。 N o . 5 N o . 5 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 跨 站 点 脚 本 攻 击 跨 站 点 脚 本 攻 击 X S S 为 了 搜 集 用 户 信 息 ， 攻 击 者 通 常 会 在 有 漏 洞 的 程 序 中 插 入   J a v a S c r i p t 、 V B S c r i p t 、   A c t i v e X 或 F l a s h 以 欺 骗 用 户 。 一 旦 得 手 ， 他 们 可 以 盗 取 用 户 帐 户 ， 修 改 用 户 设 置 ， 盗 取 / 污 染 c o o k i e ， 做 虚 假 广 告 等 。 大 致 分 为 三 步 ， . H T M L 注 入 。 需 要 向 w e b 页 面 注 入 恶 意 代 码 ； 第 二 ， 这 些 恶 意 代 码 能 够 被 浏 览 器 成 功 的 执 行 ； 解 决 办 法 ， 第 一 ， 在 表 单 提 交 或 者 u r l 参 数 传 递 前 ， 对 需 要 的 参 数 进 行 过 滤 ； 第 二 ， 在 后 台 对 从 数 据 库 获 取 的 字 符 串 数 据 进 行 过 滤 ， 判 断 关 键 字 。 第 三 ， 　 d j a n g o 框 架 内 部 机 制 默 认 阻 止 了 。 它 会 判 定 传 入 的 字 符 串 是 不 安 全 的 ， 就 不 会 渲 染 而 以 字 符 串 的 形 式 显 示 。 所 以 写 了 s a f e ， 要 严 谨 。 N o . 6 N o . 6 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 c s r f 跨 站 请 求 伪 造 跨 站 请 求 伪 造 举 个 例 子 ， 你 点 了 A 网 站 的 前 端 ， 却 对 B 网 站 的 后 端 进 行 操 作 ， 比 如 转 账 啥 的 。 因 为 A 网 站 盗 取 了 之 前 B 的 c o o k i e ， 然 后 让 B 后 端 误 认 为 是 自 己 人 。 解 决 办 法 ， d j a n g o 自 带 中 间 件 保 护 。 第 二 ， 使 用 j w t 进 行 验 证 。 每 次 交 互 都 增 加 j w t ， 退 出 后 j w t 加 入 r e d i s 的 j w t 的 黑 名 单 ， j w t 自 带 过 期 。 N o . 7 N o . 7 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 文 件 上 传 漏 洞 通 常 由 于 网 页 代 码 中 的 文 件 上 传 路 径 变 量 过 滤 不 严 造 成 的 ， 如 果 文 件 上 传 功 能 实 现 代 码 没 有 严 格 限 制 用 户 上 传 的 文 件 后 缀 以 及 文 件 类 型 ， 攻 击 者 可 通 过   W e b   访 问 的 目 录 上 传 任 意 文 件 ， 包 括 网 站 后 门 文 件 （ w e b s h e l l ） ， 进 而 远 程 控 制 网 站 服 务 器 。 解 决 办 法 ， 第 一 ， 进 行 路 径 ， 不 向 前 端 战 术 目 录 路 径 ， 第 二 ， 对 后 缀 名 进 行 过 滤 ， 第 三 ， 对 文 件 大 小 进 行 判 断 。 N o . 8 N o . 8 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 越 权 操 作 攻 击 者 绕 过 前 端 直 接 发 包 ， 更 改 用 户 信 息 进 行 窥 探 数 据 库 甚 至 对 数 据 库 进 行 恶 意 攻 击 。 解 决 办 法 ， 所 有 的 数 据 都 进 行 用 户 权 限 校 验 ， 对 数 据 进 行 用 户 校 验 ， 用 户 数 据 来 源 于 j w t ， 使 用 后 端 和 脚 本 交 互 增 加 公 私 钥 （ R S A ） （ 虽 然 也 不 太 安 全 但 是 好 过 没 有 ） 。 N o . 9 N o . 9 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 总 结 语 网 站 就 像 人 体 ， 前 端 防 护 就 好 似 皮 肤 ， 皮 肤 并 不 可 靠 ， 免 疫 细 胞 强 大 才 是 真 的 强 大 （ 一 切 输 入 都 是 不 可 靠 的 ， 做 好 严 格 过 滤 。 ）
专 注 渗 透 测 试 技 术 全 球 最 新 网 络 攻 击 技 术 E N D
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理