secure by default 原则

发布时间：2020-10-03 02:38:33 阅读：767 作者：陈先生笔记栏目：安全技术

开发者测试专用服务器限时活动，0元免费领，库存有限，领完即止！点击查看>>

1、黑名单白名单原则

列表进行过滤要有效得多。另外，在白名单中应小心* 等通配符的使用。

2、最小权限原则

3、纵深防御原则

A：在不同层面，不同方面实施安全方案。

4、数据与代码的分离

以sql 为例，产生的原因正是因为无法判断用户的输入和该执行的sql语句而直接造成的损失。

如 select fieldlist from table where field =' <input> ';

当输入为：

select fieldlist from table where field =' 'anything' or 'x'='x' '; 这时候整个数据表的数据都将被返回。

5、不可预测性原则

的成功的防御。

比如：让程序的栈基址变得随机化，使***程序无法准确猜测到内存地址，而大大的提高***的门槛。再比如在一些应用系统中，使用随机的id。那么如果***者再

想使用类似于

for(int i=0;i<1000;i++){

delete(url="xxx?id="+i);

}

这种方法的***将无效，起码是先爬取id的值，再进行delet操作。同样的，现在利用token，利用加密算法，随机算法，哈希算法等，其实都可以找到这条原则的影子。

向AI问一下细节

猜你喜欢