Experiencia de seguridad del servidor: prevención de inicios de sesión ilegales

1. Configure la seguridad de la base de datos, como la cuenta/contraseña/permisos utilizados por su programa para conectarse a la base de datos. Si está navegando por noticias, use permisos de solo lectura; puede usar diferentes cuentas/permisos para diferentes módulos; Además, los procedimientos almacenados de la base de datos que se pueden llamar también deben configurarse estrictamente y todos los no utilizados deben deshabilitarse (especialmente cmd) para evitar el uso de procedimientos almacenados de la base de datos para realizar llamadas al sistema después de la inyección;

2. Al obtener los parámetros enviados por el cliente, realice un filtrado estricto, incluida la longitud y el tipo de parámetro, etc.;

3. Proteja estrictamente los antecedentes del administrador. Si es posible, debe configurarse para permitir solo el acceso a IP específicas (por ejemplo, permitir solo el acceso al segmento de red del administrador); esto depende de la situación real;

4. Configure el sistema operativo de forma segura para evitar que se llamen a funciones del sistema después de la inyección, como

cmd.exe/tftp.exe/ftp.exe/net.exe

Todos estos archivos se transfieren a otros directorios y se asignan permisos estrictos a los directorios;

5. Configurar el control de acceso a la red;

6. Si es posible, configure el filtrado de contenido para HTTP para filtrar virus, scripts maliciosos, etc.;

7. Si es necesario, puede considerar elegir HTTPS, que puede evitar muchos análisis de herramientas de inyección. Cuando desarrollé la herramienta de detección de inyección, consideré admitir HTTPS, pero aún no se ha implementado.

Creo que también habrás notado que, en general, el programa considera principalmente problemas como permisos y permisos de filtrado de parámetros, que incluyen principalmente permisos de navegación de IIS y permisos de llamadas a bases de datos; Además, también se debe considerar la configuración de seguridad de la base de datos y del sistema operativo. Además, me pregunto si utilizará componentes desarrollados por otros durante el proceso de desarrollo, como la carga de imágenes. ¿Ha estudiado la seguridad de dichos componentes o la mayoría de la gente los utilizará durante el proceso de desarrollo? También se deben estudiar los códigos proporcionados en Internet y en libros, como la verificación de inicio de sesión del usuario, etc.