网站防护体系说明书
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
网站防护体系说明书
随着IT技术的革新，各种病毒层出不穷，服务器和网站受到的攻击方式也越来越多。为了确保“XXXX”网站的安全运行，在维护时主要从网站源码、防火墙设置、安全软件等方面来加强网站的安全性和自主防御能力。
一、网站源码自身防御体系
网站的防御需要从源码开始做起，在代码开发时，开发人员要根据常见的Web攻击原理，在源码中添加有针对性的防御代码，做好网站防御体系的最后一道防线。
（一）、SQL注入防护措施：
1.对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和双"-"进行转换等。
2.尽量少使用动态拼装sql语句，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
3.不要直接使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
4.不要把机密信息直接存放，加密存放密码和敏感的信息。
5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
6.sql注入的检测方法一般采取辅助软件或网站平台来检测，比如MDCSOFTSCAN等。使用国产服务器安全软件“服务器安全狗”可以有效的防御SQL 注入。
（二）、跨站脚本攻击(XSS)防护措施：
1.对信息进行过滤和验证
对用户提交的数据进行有效性验证，仅接受指定长度范围内并符合我们期望格式的的内容提交，阻止或者忽略除此外的其他任何数据。比如：电话号码必须是数字和中划线组成，而且要设定长度上限。过滤一些些常见的敏感字符，例如：<>‘“&#\javascriptexpression"onclick=""onfocus"；过滤或移除特殊的Html 标签，例如: