搜索

[13229] 2018-09-26_一个人的安全部之大话企业数据安全保护

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-09-26_一个人的安全部之大话企业数据安全保护 一 个 人 的 安 全 部 之 大 话 企 业 数 据 安 全 保 护 l i o n g 0 3   F r e e B u f   2 0 1 8 - 0 9 - 2 6 先 简 单 自 我 介 绍 一 下 ， 其 实 ， 我 是 一 个 信 息 安 全 工 程 师 ， 也 是 一 个 人 的 先 简 单 自 我 介 绍 一 下 ， 其 实 ， 我 是 一 个 信 息 安 全 工 程 师 ， 也 是 一 个 人 的 “ 安 全 部 安 全 部 ” … … 近 期 看 到 一 些 朋 友 问 数 据 安 全 保 护 怎 么 弄 ， 刚 好 为 某 企 业 简 单 规 划 过 ， 很 多 前 辈 大 佬 都 有 介 绍 过 数 据 安 全 ， 突 然 想 用 一 种 不 一 样 的 姿 势 来 分 享 ， 通 过 一 些 文 字 条 框 再 结 合 一 些 故 事 案 例 来 思 考 。 目 录 架 构 目 录 架 构 一 、 设 计 思 路 一 、 设 计 思 路 数 据 安 全 也 是 一 个 整 体 的 体 系 ， 环 环 相 扣 ， 说 说 对 数 据 安 全 保 护 的 构 思 吧 。 一 张 图 胜 过 千 言 万 语 ， 如 果 不 行 ， 那 就 三 张 ：
数 据 安 全 防 护 六 数 据 安 全 防 护 六 “ 不 不 ” 曲 ： 曲 ： 全 面 的 网 络 安 全 防 护 ： 全 面 的 网 络 安 全 防 护 ：
二 、 数 据 安 全 威 胁 二 、 数 据 安 全 威 胁 简 单 做 了 一 个 数 据 安 全 威 胁 / 风 险 脑 图 ： 三 、 规 划 内 容 三 、 规 划 内 容 3 . 1   访 问 控 制 访 问 控 制 涉 及 数 据 相 关 的 访 问 控 制 需 要 进 行 网 络 隔 离 、 用 户 进 行 细 粒 度 授 权 、 访 问 进 行 认 证 ， 访 问 控 制 涉 及 对 象 包 括 操 作 系 统 、 数 据 库 、 中 间 件 、 应 用 程 序 甚 至 网 络 设 备 等 访 问 ， 还 是 简 单 点 说 吧 ： （ 一 ） 网 络 控 制 网 络 控 制 ， 主 要 通 过   A C L 来 实 现 ， 对 源 地 址 、 目 的 地 址 、 源 端 口 、 目 的 端 口 和 协 议 的 访 问 进 行 控 制 。 1 ） 仅 限 运 维 技 术 负 责 人 有 权 限 访 问 生 产 服 务 器 及 业 务 数 据 接 触 到 客 户 数 据 ， 应 用 系 统 的 发 版 均 需 要 经 过 运 维 人 员 配 应 用 系 统 的 发 版 均 需 要 经 过 运 维 人 员 配 合 才 能 进 行 发 版 合 才 能 进 行 发 版 。 2 ） 网 络 边 界 或 区 域 之 间 根 据 访 问 控 制 策 略 设 置 访 问 控 制 规 则 ： 网 络 访 问 控 制 通 常 是 最 熟 悉 的 人 去 弄 ， 为 了 让 网 络 管 理 员 知 道 配 置 的 需 求 ， 一 般 都 会 弄 一 个 模 板 表 ， 当 然 事 前 还 会 进 行 一 些 调 研 ， 如 ： （ 二 ） 权 限 控 制 权 限 控 制 ， 基 于 角 色 的 权 限 访 问 控 制 ： 1 ） 根 据 管 理 用 户 的 角 色 分 配 权 限 ， 实 现 管 理 用 户 的 权 限 分 离 ， 仅 授 予 管 理 用 户 所 需 的 最 小 权 限 ， 尽 量 在 权 限 之 间 形 成 相 互 制 约 的 关 系 ； （ 通 常 情 况 ： 仅 公 司 技 术 负 责 人 才 有 权 限 访 问 生 产 服 务 器 及 业 务 数 据 库 接 触 到 客 户 数 据 ， 关 键 数 据 均 是 加 密 后 的 密 文 ， 同 时 对 数 据 的 维 护 操 作 进 行 了 监 控 与 审 计 ） 。 2 ） 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 ； a .   网 络 边 界 部 署 交 换 机 和 防 火 墙 进 行 访 问 控 制 策 略 ； b .   一 些 端 口 或 A C L 也 可 通 过 主 机 自 带 防 火 墙 进 行 访 问 控 制 ， 访 问 控 制 策 略 尽 量 采 用 就 近 原 则 ； c .   访 问 控 制 策 略 采 用 白 名 单 形 式 ， 默 认 情 况 下 除 允 许 通 信 外 受 控 接 口 拒 绝 所 有 通 信 ， 如 远 程 登 陆 端 口 、 数 据 库 端 口 、 中 间 件 端 口 进 行 访 问 控 制 ， 尽 量 避 免 端 口 暴 露 非 信 任 区 域 ， 可 以 通 过 V P N 进 行 跨 区 域 安 全 通 信 。
3 ） 权 限 控 制 实 现 文 件 、 数 据 库 表 级 、 记 录 或 字 段 级 的 访 问 控 制 ； 4 ） 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 。 如 长 期 未 登 陆 用 户 使 用 系 统 ， 如 超 过 三 个 月 未 登 陆 系 统 ， 应 对 帐 号 进 行 长 期 锁 定 。 （ 三 ） 防 数 据 库 误 删 （ 三 ） 防 数 据 库 误 删 1 ） 不 要 在 任 何 时 候 使 用 r m   – r f   *   ， 他 会 永 久 删 除 文 件 ， 建 议 给 “ r m ” 命 令 添 加 个 “ 垃 圾 桶 ” ， 而 不 是 永 久 删 除 ； 2 ） 改 写 r m 命 令 ， 防 止 误 操 作 ； 3 ） 删 除 命 令 尽 量 脚 本 化 删 除 命 令 尽 量 脚 本 化 ， 并 把 将 执 行 的 脚 本 命 令 、 需 要 删 除 的 对 象 进 行 描 述 发 给 第 三 者 审 核 通 过 ， 数 据 库 操 作 时 不 要 饮 酒 ， 重 要 的 是 要 开 心 重 要 的 是 要 开 心 。 太 枯 燥 了 ， 来 个 故 事 来 个 故 事 吧 （ 瞎 编 的 ） ： 1 ） 某 次 信 息 泄 露 事 件 应 急 分 析 ， 查 看 日 志 ， 发 现 某 黑 阔 半 夜 不 睡 觉 的 ， 用 了 好 几 个 管 理 员 账 号 也 包 括 已 离 职 人 员 的 ， 竟 然 成 功 登 陆 了 某 后 台 ， 后 台 里 面 是 有 很 多 信 息 数 据 的 ， 整 理 了 下 日 志 信 息 ： 询 问 I P 所 属 本 人 ， 都 不 是 他 本 人 操 作 ， 然 后 对 I P 所 在 电 脑 进 行 病 毒 查 杀 ， 发 现 一 堆 可 疑 文 件 ： 丢 到 情 报 平 台 分 析 ， 发 现 好 几 个 木 马 病 毒 ， 其 中 竟 然 有 与 大 名 鼎 鼎 “ 冰 河 木 马 ” 相 似 ：
运 行 程 序 后 ， 生 成 了 1 个 小 文 件 和 几 个 看 起 来 像 系 统 进 程 ， 然 后 查 看 网 络 流 量 网 络 流 量 发 现 连 接 了 一 个 国 外 国 外 * * I P 的 8 0 8 6 端 口 * * ， 应 该 就 是 木 马 远 控 端 的 I P 地 址 ： 大 致 的 分 析 结 果 ： 大 致 的 分 析 结 果 ： 1 ） 黑 阔 放 了 马 在 网 上 ， 然 后 某 人 下 载 后 被 远 控 了 ； 2 ） 中 马 后 ， 黑 阔 通 过 内 网 探 测 、 浏 览 器 或 查 看 邮 件 啥 啥 的 ， 找 到 了 某 后 台 的 一 些 管 理 员 账 号 和 密 码 （ 当 然 了 默 认 密 码 ） ； 3 ） 某 黑 阔 是 喜 欢 半 夜 不 睡 觉 的 ， 登 陆 后 台 进 行 了 一 些 不 可 描 述 的 信 息 数 据 操 作 。 这 里 有 几 个 问 题 ： 某 I P 为 什 么 能 访 问 后 台 、 那 些 账 号 的 权 限 有 多 大 、 账 号 密 码 是 怎 么 泄 露 的 、 离 职 人 员 的 账 号 为 什 么 未 清 除 、 为 什 么 会 下 载 木 马 、 下 载 了 木 马 为 什 么 没 有 发 现 、 为 什 么 有 默 认 密 码 。 这 里 就 涉 及 一 些 访 问 控 制 访 问 控 制 、 权 限 控 权 限 控 制 、 制 、 病 毒 防 范 以 及 安 全 意 识 等 等 了 ， 所 以 数 据 安 全 还 是 不 能 单 独 来 看 。 有 时 候 不 抓 ， 可 能 是 因 为
3 . 2     身 份 认 证 身 份 认 证 （ 一 ） 身 份 认 证 可 分 为 两 种 认 证 方 式 ， 单 点 登 录 和 双 因 素 认 证 。 1 .   单 点 登 录 ： 在 多 个 业 务 系 统 中 ， 用 户 只 需 要 登 录 一 次 就 可 以 访 问 所 有 相 互 信 任 的 业 务 系 统 。 使 用 单 点 登 录 ， 在 带 来 便 利 的 同 时 也 会 引 入 新 的 安 全 风 险 ： 用 户 仿 冒 和 单 点 故 障 。 以 下 措 施 可 提 高 业 务 系 统 （ 如 ： 某 个 工 作 台 ， 包 含 了 O A 、 后 台 登 陆 、 H R M 等 多 个 应 用 系 统 ） 单 点 登 陆 的 安 全 性 和 可 用 性 ： a .   用 户 访 问 任 何 一 个 业 务 系 统 时 ， 如 果 已 经 在 单 点 登 录 服 务 器 中 认 证 成 功 ， 那 么 可 以 获 取 对 应 的 权 限 ， 访 问 对 应 的 界 面 ； b .   用 户 如 果 在 其 中 任 何 一 个 业 务 系 统 中 点 击 “ 注 销 ” 按 钮 后 ， 那 么 不 能 继 续 访 问 其 他 业 务 系 统 ， 如 果 访 问 ， 必 须 重 新 登 录 ； c .   用 户 访 问 任 何 一 个 业 务 系 统 时 ， 如 果 尚 未 在 单 点 登 录 服 务 器 中 认 证 成 功 ， 那 么 需 要 跳 转 到 单 点 登 录 界 面 ， 输 入 用 户 名 密 码 ， 校 验 成 功 后 ， 再 回 到 原 来 的 访 问 界 面 。 d .   通 过 备 份 、 冗 余 、 负 载 均 衡 、 功 能 模 块 化 以 及 提 高 处 理 性 能 ， 来 防 范 单 点 故 障 。 2 .   双 因 素 身 份 认 证 ： 解 决 只 有 授 权 用 户 才 能 访 问 系 统 平 台 与 服 务 的 问 题 ， 主 流 的 身 份 认 证 手 段 包 括 ： 静 态 密 码 、 动 态 口 令 、 密 码 技 术 或 生 物 技 术 等 。 （ 二 ） 某 系 统 的 双 因 素 身 份 认 证 ： c .   操 作 系 统 、 数 据 库 、 网 络 设 备 登 陆 ， 采 用 堡 垒 机 进 行 登 陆 统 一 认 证 和 操 作 审 计 。 （ 三 ） 接 口 认 证 在 工 作 中 发 现 过 不 少 接 口 方 面 的 安 全 问 题 ， 比 如 接 口 暴 露 ， 可 以 任 意 调 用 ， 甚 至 修 改 传 输 包 ， 解 决 方 法 可 参 考 ： 1 .   身 份 认 证 ， 调 用 鉴 权 （ 资 源 范 围 、 操 作 权 限 ） ； 2 .   通 道 加 密 传 输 ， 如 使 用 S S L 传 输 ； 3 .   重 要 信 息 加 密 算 法 进 行 加 密 后 传 输 ； 4 .   添 加 t o k e n 校 验 ， 防 止 请 求 重 放 ； 5 .   将 登 陆 信 息 等 重 要 信 息 存 放 为 S E S S I O N ， 其 他 信 息 如 果 需 要 保 留 ， 可 以 放 在 C O O K I E 中 ； 6 .   设 置 I P 白 名 单 ； a .   进 行 资 金 交 易 、 修 改 个 人 信 息 或 修 改 密 码 等 敏 感 操 作 进 行 双 因 子 认 证 ； b .   对 后 台 用 户 在 登 录 时 采 用 双 因 子 认 证 ， 如 用 户 名 / 密 码 + 手 机 短 信 验 证 码 、 用 户 名 / 密 码 + 动 态 令 牌 或 用 户 名 / 密 码 + U k e y 等 等 ；
7 .   一 些 资 源 管 理 器 / 应 用 组 件 （ 如 ： Y A R N & M R 、 S p a r k 、 H i v e 、 S t o r m 、 Z o o K e e p e r 、 I m p a l a ） ， 应 开 启 认 证 机 制 。 若 资 源 管 理 器 / 应 用 组 件 支 持 关 闭 认 证 机 制 功 能 ， 需 要 提 示 ， 并 建 议 在 关 闭 认 证 机 制 功 能 时 界 面 上 给 出 告 警 提 示 。 接 口 认 证 方 式 不 能 一 概 而 论 ， 还 要 根 据 所 在 业 务 和 场 景 进 行 设 计 … … . 来 个 故 事 吧 ， 搭 建 测 试 环 境 ， 某 短 信 数 据 流 转 示 意 图 ： 搭 建 测 试 环 境 ， 某 短 信 数 据 流 转 示 意 图 ： 一 、 问 题 现 状 ： a .     短 信 信 息 明 文 传 输 ， 也 未 使 用 S S L 传 输 ； b .     可 以 任 意 修 改 短 信 信 息 ； c .   使 用 G E T 传 输 账 号 、 密 码 及 短 信 内 容 ； d .   短 信 服 务 器 是 在 短 信 企 业 那 边 ， 也 就 是 短 信 平 台 与 短 信 服 务 器 是 进 行 了 跨 不 信 任 网 络 传 输 。 二 、 存 在 的 风 险 外 部 人 员 调 用 此 短 信 接 口 或 直 接 使 用 以 往 的 接 口 信 息 内 容 ， 进 行 修 改 ， 然 后 ： a .   短 信 诈 骗 ； b .   短 信 钓 鱼 ； c .   由 于 短 信 内 容 可 以 随 意 修 改 ， 也 可 以 随 意 发 给 任 何 人 ， 可 以 利 用 的 方 式 太 多 ， 不 一 一 例 举 。 三 、 测 试 验 证 外 网 直 接 调 用 接 口 信 息 后 不 需 要 验 证 ， 直 接 篡 改 ， 再 发 送 短 信 成 功 ： 信 息 解 码 后 ： h t t p : / / 1 1 6 . 5 8 . x x x . x x x : 8 0 8 0 / x x x / x x x x . a c t i o n ? c d k e y = x x x - x x x - x x x - x x x & p a s s w o r d = 0 1 1 x x x x & p h o n e = 1 8 9 x x x x y y y y & m e s s a g e = 奥 巴 嘛 先 生 您 好 ， 户 名 ： 深 圳 x x x x x x x x 公 司 ， 开 户 行 : x x 银 行 深 圳 x x 支 行 ， 账 号 : x x 4 2 7 1 0 x x x 1 0 1 6 6 5 ， 金 额 为 ： 1 1 3 4 2 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 . 0 0 元 。 如 有 疑 问 ， 请 联 系
2 6 1 4 6 1 8 2 6 1 4 3 4 3 x x x x x ， 如 需 要 开 启 上 帝 模 式 请 联 系 吴 证 铭 先 生 ， 电 话 ： 1 8 8 8 8 8 8 9 9 9 9 成 功 收 到 短 信 ： 3 . 3   数 据 加 密 数 据 加 密 & 脱 敏 脱 敏 （ 一 ） 数 据 加 密 （ 一 ） 数 据 加 密 在 数 据 保 存 和 传 输 的 数 据 提 供 加 密 功 能 ， 在 两 个 维 度 上 提 供 数 据 安 全 保 护 ： 1 . 机 密 性 ： 采 用 加 密 的 方 式 ， 确 保 只 有 拥 有 相 应 密 钥 的 用 户 能 够 访 问 被 保 护 的 数 据 ； 2 . 完 整 性 ： 保 证 信 息 在 储 存 和 传 输 过 程 中 不 被 查 看 和 修 改 ， 如 ： 使 用 S S L 传 输 ， 并 对 敏 感 信 息 （ 如 用 户 名 、 密 码 、 重 要 I D 值 ） 使 用 加 密 算 法 + 动 态 t o k e n 验 证 。 在 加 密 算 法 、 随 机 数 使 用 、 加 密 协 议 的 选 择 时 需 要 兼 顾 性 能 考 虑 ， 需 要 对 数 据 进 行 区 分 ， 只 针 对 需 要 加 密 的 数 据 进 行 加 密 处 理 。 常 见 的 加 密 算 法 ： 常 见 的 加 密 算 法 ：
内 容 加 密 内 容 加 密 通 常 采 用 对 称 加 密 算 法 ， 数 据 库 中 常 用 的 加 密 算 法 A E S 或 M D 5 + 盐 ； 传 输 通 道 加 密 传 输 通 道 加 密 通 常 采 用 非 对 称 加 密 算 法 ， 如 ： S S L 加 密 数 据 通 道 采 用 R S A （ 非 对 称 加 密 ） 、 V P N 采 用 R S A 、 S S H k e y 采 用 R S A 。 注 ： 注 ： a .   M D 5 加 密 其 实 是 比 较 弱 ， 一 次 M D 5 可 以 防 止 相 对 安 全 的 密 码 被 逆 向 出 明 文 ， 但 可 顺 推 。 b .   单 纯 的 M D 5 不 是 很 安 全 ， 但 加 个 固 定 的 盐 值 ， 就 能 防 止 已 有 的 彩 虹 表 攻 击 ， 多 次 M D 5 更 是 增 加 了 碰 撞 攻 击 的 计 算 成 本 ， 但 不 能 防 止 重 放 攻 击 。 c .   在 传 输 过 程 中 加 动 态 t o k e n 验 证 ， 就 需 要 服 务 端 加 逻 辑 配 置 ， 可 以 防 止 重 放 攻 击 ， 但 不 能 防 止 中 间 人 攻 击 。 d .   传 输 通 道 加 密 可 以 比 较 有 效 防 止 中 间 人 攻 击 。 （ 二 ） 秘 钥 保 护 （ 二 ） 秘 钥 保 护 加 密 技 术 都 基 于 密 钥 的 安 全 基 础 上 ， 如 果 密 钥 泄 露 ， 就 失 去 了 安 全 性 。 实 际 开 发 中 ， 把 密 钥 直 接 写 在 源 代 码 中 ， 或 者 是 配 置 文 件 中 ， 线 上 和 开 发 环 境 配 置 相 同 的 密 钥 。 这 样 的 话 ， 不 够 安 全 。 通 过 两 种 方 案 改 善 ： 1 . 密 钥 和 算 法 放 在 一 个 独 立 的 服 务 器 上 ， 甚 至 做 成 一 个 专 用 的 硬 件 设 备 ， 对 外 提 供 加 密 和 解 密 服 务 ， 用 程 序 通 过 调 用 这 个 服 务 ， 实 现 数 据 的 加 解 密 。 这 种 方 法 由 专 人 维 护 ， 密 钥 不 容 易 泄 露 ， 但 是 成 本 较 高 。 2 . 将 加 解 密 算 法 放 在 应 用 系 统 中 ， 密 钥 则 放 在 独 立 服 务 器 中 ， 为 了 提 高 密 钥 的 安 全 性 ， 实 际 存 储 时 ， 密 钥 被 切 分 成 数 片 ， 加 密 后 分 别 保 存 在 不 同 存 储 介 质 中 ， 兼 顾 密 钥 安 全 性 的 同 时 又 改 善 了 性 能 。 （ 三 ） 数 据 脱 敏 （ 三 ） 数 据 脱 敏 企 业 拥 有 的 敏 感 数 据 ， 包 括 商 业 秘 密 、 知 识 产 权 、 关 键 业 务 信 息 、 业 务 合 作 伙 伴 信 息 或 用 户 信 息 等 。 其 中 涉 及 个 人 隐 私 的 用 户 个 人 信 息 是 信 息 系 统 中 最 重 要 最 广 泛 的 敏 感 信 息 。 个 人 信 息 个 人 信 息 ： 指 以 电 子 或 者 其 他 方 式 记 录 的 能 够 单 独 或 者 与 其 他 信 息 结 合 识 别 自 然 人 个 人 身 份 的 各 种 信 息 ， 包 括 但 不 限 于 自 然 人 的 姓 名 、 出 生 日 期 、 身 份 证 件 号 码 、 个 人 生 物 识 别 信 息 、 住 址 、 电 话 号 码 等 。 公 民 个 人 信 息 公 民 个 人 信 息 ： 是 指 以 电 子 或 者 其 他 方 式 记 录 的 能 够 单 独 或 者 与 其 他 信 息 结 合 识 别 特 定 自 然 人 身 份 或 者 反 映 特 定 自 然 人 活 动 情 况 的 各 种 信 息 ， 包 括 姓 名 、 身 份 证 件 号 码 、 通 信 通 讯 联 系 方 式 、 住 址 、 账 号 密 码 、 财 产 状 况 、 行 踪 轨 迹 等 。 个 人 建 议 ： 针 对 敏 感 数 据 ， 采 用 技 术 措 施 限 制 对 用 户 信 息 的 访 问 和 使 用 。 个 人 建 议 ： 针 对 敏 感 数 据 ， 采 用 技 术 措 施 限 制 对 用 户 信 息 的 访 问 和 使 用 。 1 ） 确 认 需 要 查 看 客 户 个 人 信 息 的 后 台 账 号 ， 账 号 权 限 为 业 务 必 须 的 权 限 ； 2 ） 查 询 客 户 个 人 信 息 尽 量 仅 能 查 询 脱 敏 后 的 信 息 ， 如 电 话 号 码 、 身 份 证 号 码 只 保 留 前 后 4 位 ， 中 间 内 容 脱 敏 ； 3 ） 不 管 是 请 求 校 验 还 是 脱 敏 不 要 在 前 端 进 行 ， 前 端 是 不 可 靠 的 ； 4 ） 对 于 需 要 导 出 客 户 个 人 信 息 的 后 台 账 号 ， 确 认 是 否 必 要 导 出 客 户 个 人 的 明 文 信 息 ， 脱 敏 实 现 之 数 据 脱 敏 系 统 的 原 理 及 功 能 ： 脱 敏 实 现 之 数 据 脱 敏 系 统 的 原 理 及 功 能 ：   a )     如 无 必 要 建 议 禁 止 导 出 客 户 明 文 信 息 ；   b )     若 确 实 必 要 导 出 客 户 个 人 信 息 的 明 文 信 息 ， 建 议 严 格 限 制 后 台 账 号 的 使 用 人 员 范 围 （ 使 用 人 员 、 登 录 的 源 I P ） ， 并 设 置 导 出 的 信 息 范 围 ， 如 信 息 条 数 、 信 息 时 长 （ 如 最 近 1 个 月 ） ， 所 有 对 客 户 信 息 的 查 询 和 导 出 有 日 志 记 录 。
第 一 步 ： 评 估 数 据 资 产 的 安 全 级 别 ， 根 据 不 同 的 安 全 级 别 以 及 应 用 的 数 据 要 求 ， 制 定 不 同 的 脱 敏 策 略 。 第 二 步 ： 设 置 脱 敏 任 务 和 触 发 条 件 ， 触 发 条 件 如 时 间 、 某 数 据 处 理 过 程 的 调 用 。 第 三 步 ： 触 发 脱 敏 条 件 后 ， 脱 敏 系 统 将 脱 敏 算 法 的 执 行 算 法 包 下 发 各 节 点 实 现 数 据 脱 敏 。 数 据 脱 敏 可 发 生 在 两 个 阶 段 ： 数 据 脱 敏 可 发 生 在 两 个 阶 段 ： 1 ） 数 据 的 采 集 阶 段 ， 实 现 最 基 本 、 简 单 的 脱 敏 ； 2 ） 数 据 资 产 应 用 过 程 中 ， 针 对 不 同 的 应 用 进 行 实 时 的 脱 敏 ， 应 用 脱 敏 相 对 较 为 复 杂 多 变 。 好 吧 ， 这 里 也 来 点 关 于 秘 钥 秘 钥 和 脱 敏 问 题 的 故 事 脱 敏 问 题 的 故 事 吧 ， 在 这 里 讲 故 事 ， 没 人 打 我 ， 大 佬 们 说 话 又 好 听 ， 超 喜 欢 这 里 的 感 觉 。 故 事 故 事 1 、 硬 编 码 、 硬 编 码 反 编 译 A P P ， 找 到 加 密 方 式 A E S / C B C / P K C S 5 P a d d i n g 找 到 秘 钥 ： b 6 0 4 4 9 d d b 2 9 2 2 1 c 8 测 试 解 密 成 功 ： 刚 好 还 有 个 信 息 遍 历 漏 洞 ， 现 在 有 了 秘 钥 ， 就 可 进 行 遍 历 了 ， 自 定 义 I D 值 ， 然 后 用 秘 钥 加 密 ， 再 去 遍 历 ， 可 遍 历 出 其 他 人 的 I D 值 对 应 的 用 户 信 息 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理