久草在线视频精品,欧美一区二区三区艳史

主頁(yè) > 知識(shí)庫(kù) > 程序開(kāi)發(fā)中的幾個(gè)請(qǐng)不要相信

程序開(kāi)發(fā)中的幾個(gè)請(qǐng)不要相信

鏈接中的例子是一些腳本攻擊相關(guān)的內(nèi)容，有時(shí)間的朋友可以點(diǎn)開(kāi)看看。

1.不要相信Request.QueryString:

相信在asp時(shí)代，這個(gè)問(wèn)題比較嚴(yán)重，不信，隨便到網(wǎng)絡(luò)上找?guī)讉€(gè)asp的企業(yè)站，找到這種url"view.asp?id=xxx",改成"view.asp?id=xxx or 1=1",相信你會(huì)看到不一樣的東西，到了.net，應(yīng)該很少了，不過(guò)上次看到有人說(shuō)CSDN爆過(guò)哦，簡(jiǎn)單的解決方法是在取得數(shù)據(jù)時(shí)做數(shù)據(jù)類型驗(yàn)證或轉(zhuǎn)換。比如:
int ViewID = 0;
if(int.TryParse(Request.QueryString["ID"], out ViewID)){
//...
}
2.不要相信maxlength:
有時(shí)候我們想客戶端輸入的某個(gè)值不超過(guò)一定的長(zhǎng)度，這個(gè)時(shí)候可能就會(huì)用到input的maxlength，但maxlength能100%保證這個(gè)值的長(zhǎng)度不超過(guò)maxlength嗎？

[Ctrl+A 全選注:引入外部Js需再刷新一下頁(yè)面才能執(zhí)行]

顯然，maxlength是不可信的，簡(jiǎn)單的解決辦法是后臺(tái)代碼驗(yàn)證數(shù)據(jù)長(zhǎng)度：
string UserName = Request.QueryString["UserName"];
if(!string.IsNullOrEmpty(UserName)UserName.length > x){
//...提示錯(cuò)誤或截?cái)鄶?shù)據(jù)
}
3.不要相信Hidden:
有時(shí)候我們想把些信息保存到前臺(tái)頁(yè)面，然后再發(fā)送回來(lái)，但是我們又不想讓客戶看到這個(gè)信息，于是，我們把數(shù)據(jù)放到了hidden里面，那客戶提交數(shù)據(jù)時(shí)，hidden里的內(nèi)容真的是我們放的內(nèi)容嗎？

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta http-equiv="Content-Type" content="text/html; charset=gb2312" /> <title>改變Hidden的值</title> <script language="javascript" type="text/javascript"> function ShowValue(){     alert("Hidden 的 Value 是: " + document.getElementById("Type").value); } </script> </head> <body style="font-size:12px;line-height:25px;"> <input type="hidden" id="Type" name="Type" value="Robot!" /> 用戶名:<input type="text" id="UserName" name="UserName" /> <input type="submit" value="提交" /> <input type="button" onclick="ShowValue();" value="查看Hidden"/> 請(qǐng)先點(diǎn)擊"查看Hidden"查看原來(lái)的值.正常情況,客戶端提交給你的Type的值應(yīng)該是"Robot!",但是你把下面的代碼復(fù)制到地址欄然后Enter一下,再點(diǎn)查看Hidden看看; <textarea style="width:600px;height:100px;line-height:20px;"> javascript:alert(window.c=function(){document.getElementById("Type").value = "我不是Robot!"}())</textarea> </body> </html>

[Ctrl+A 全選注:引入外部Js需再刷新一下頁(yè)面才能執(zhí)行]

這個(gè)我一時(shí)也沒(méi)想到好的驗(yàn)證方法，暫時(shí)也沒(méi)有特殊的需求說(shuō)必須驗(yàn)證。
4.不要相信客戶端驗(yàn)證:

比如2和3中的問(wèn)題，可能有的朋友覺(jué)得，我客戶端再加個(gè)驗(yàn)證不就OK了嗎？可是，往往，客戶端驗(yàn)證也是不安全的，首先，如果客戶端禁用腳本，那客戶端驗(yàn)證是完全失效的，另外，在腳本有效的情況下，腳本驗(yàn)證也是可以被篡改的。

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta http-equiv="Content-Type" content="text/html; charset=gb2312" /> <title>覆蓋Submit驗(yàn)證</title> <script language="javascript" type="text/javascript"> function ValidateForm(){     if(document.getElementById("UserName").value == ""){         alert("用戶名不能為空!");         return false;     }     return true; } </script> </head> <body style="font-size:12px;line-height:25px;"> <form action="" method="post" onsubmit="return ValidateForm();">     <input type="text" id="UserName" name="UserName" /> <input type="submit" value="提交" /> </form> 正常情況,點(diǎn)提交按鈕會(huì)驗(yàn)證用戶名不能為空,并彈出提示,但是你把下面的代碼復(fù)制到地址欄然后Enter一下,再點(diǎn)提交看看; <textarea style="width:600px;height:100px;line-height:20px;"> javascript:alert(window.c=function(){document.getElementsByTagName("form")[0].onsubmit=function(){alert("我是不會(huì)驗(yàn)證數(shù)據(jù)的哦!");return true;}}())</textarea> </body> </html>

[Ctrl+A 全選注:引入外部Js需再刷新一下頁(yè)面才能執(zhí)行]

以前QQ空間里可以通過(guò)這個(gè)方法免費(fèi)使用黃鉆模板，不知道現(xiàn)在還有沒(méi)有。這個(gè)就沒(méi)有什么好的解決辦法，只能后臺(tái)再驗(yàn)證一次。
5.不要相信編輯器:

有的時(shí)候，可能項(xiàng)目中要用到一些簡(jiǎn)單的編輯器，于是，我們就找到了一些編輯器，把不需要的功能(比如：編輯源碼、插入圖片等)剔除掉，就成了個(gè)簡(jiǎn)單的編輯器，那這樣的編輯器還會(huì)有什么問(wèn)題嗎？

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta http-equiv="Content-Type" content="text/html; charset=gb2312" /> <title>無(wú)標(biāo)題文檔</title> <script language="javascript" type="text/javascript"> window.onload = function(){     document.getElementById("sampleEditor").contentWindow.document.designMode = "on"; } </script> </head> <body style="font-size:12px;line-height:25px;"> 真正的編輯器應(yīng)該會(huì)有些加粗、傾斜什么的功能，我就不弄了，以最原始的iframe為例。 <iframe frameborder="1" style="width:500px;height:200px;" id="sampleEditor"></iframe> 這個(gè)簡(jiǎn)單的編輯器沒(méi)有查看源碼的功能，那客戶是不是真的就改變不了里面的內(nèi)容了？ 請(qǐng)將下面的代碼復(fù)制到地址欄然后Enter； <textarea style="width:600px;height:100px;line-height:20px;"> javascript:alert(window.c=function(){document.getElementById("sampleEditor").contentWindow.document.body.innerHTML = '<img src="http://www.cnblogs.com/images/logo.gif" />';}())</textarea> <span style="color:#FF0000;">如果用戶在里面插入個(gè)script標(biāo)簽再提交給你呢？</span> <span style="font-weight:bold;">其實(shí)還有個(gè)更簡(jiǎn)單的方法，直接去另一個(gè)頁(yè)面復(fù)制，然后回到編輯器里粘貼，什么都過(guò)來(lái)了。</span> </body> </html>

[Ctrl+A 全選注:引入外部Js需再刷新一下頁(yè)面才能執(zhí)行]

暫時(shí)也沒(méi)有什么好的解決辦法，以前找到過(guò)過(guò)濾script標(biāo)簽的代碼，但似乎不太完美。
6.不要相信Cookie:
網(wǎng)站中不可避免的會(huì)使用到Cookie,但如果一不注意，小心你的Cookie成了別人的"Cookie"，
http://img.jb51.net/online/demo0415/Cookie.asp
取Cookie和寫(xiě)Cookie的js方法是在網(wǎng)上找到的，具體鏈接也找不到了。解決辦法，似乎是Cookie加密(當(dāng)然，即使是加密了，也盡量不要把敏感數(shù)據(jù)放到Cookie中)，不知道各位高手還有沒(méi)有其它好辦法。
7.不要相信Request.UrlReferrer:
如果有朋友用這個(gè)來(lái)驗(yàn)證請(qǐng)求，那么請(qǐng)注意了，這個(gè)東西也是不可信的。見(jiàn)代碼；
System.Net.HttpWebRequest request = System.Net.WebRequest.Create("https://www.jb51.net/") as System.Net.HttpWebRequest;
request.Referer = "https://www.jb51.net/";
...
那么，這個(gè)時(shí)候你取得的Urlreferrer會(huì)是https://www.jb51.net/，但這個(gè)請(qǐng)求卻是偽造的。
8.不要相信用戶：
用戶就是你潛在的威脅，客戶端的東西，永遠(yuǎn)都不要輕信。
另，select標(biāo)簽的內(nèi)容也是不可信的，大家可以動(dòng)手試試，隨便建個(gè)頁(yè)面，里面放個(gè)select，然后:

復(fù)制代碼代碼如下:

javascript:alert(window.c=function(){var s=document.getElementsByTagName("select")[0];for(var x = 0; x  100; x++){s.options[x]=new Option("選項(xiàng)" + x, x)}}()); 

歡迎高手不吝賜教。示例代碼下載。

標(biāo)簽：無(wú)錫紅河河源沈陽(yáng) 忻州阜陽(yáng) 哈密青海

巨人網(wǎng)絡(luò)通訊聲明：本文標(biāo)題《程序開(kāi)發(fā)中的幾個(gè)請(qǐng)不要相信》，本文關(guān)鍵詞程序開(kāi)發(fā),中的,幾個(gè),請(qǐng),；如發(fā)現(xiàn)本文內(nèi)容存在版權(quán)問(wèn)題，煩請(qǐng)?zhí)峁┫嚓P(guān)信息告之我們，我們將及時(shí)溝通與處理。本站內(nèi)容系統(tǒng)采集于網(wǎng)絡(luò)，涉及言論、版權(quán)與本站無(wú)關(guān)。