Java开发规范V1.2 - 图文(13)

软件开发项目管理培训

一旦某个帐户连续登陆失败次数达到了规定的数值，就会按配臵的时间被锁定，如下提示：

如此一来，攻击者就没机会穷举帐户和密码了，此类攻击也就不可能发生了！

12.5 已解密的登录请求

12.5.1 描述

通过HTTP POST 发送表单数据，这些数据将在HTTP报文中以明文的形式传输。对于一些敏感的数据（如用户名/密码、信用卡密码）以传统的HTTP报文传输存在巨大的风险。 12.5.2 安全级别

中。

42

软件开发项目管理培训

12.5.3 安全风险

可能会窃取诸如用户名和密码等未经加密即发送了的用户登录信息。

12.5.4 解决方案

（1） 饶过AppScan软件扫描

（2） 对提交的敏感信息，一律以加密方式传给服务器。

（3） 采用基于SSL的HTTPS传输协议，对提交的敏感信息在传输过

程中加密。

敏感信息包括：用户名、密码、社会保险号码、信用卡号码、驾照号码、电子邮件地址、电话号码、邮政编码等。

注意：如果不是基于SSL的HTTPS传输协议的话。对于提交的敏感信息即使加密后，AppScan软件同样认为该漏洞存在。所以避免这一漏洞的有效方案是饶过扫描或者采用基于SSL的HTTPS传输协议。

虽然采取HTTPS传输数据有很高的安全性，但是也有以下几个显著的缺点：

? 需要申请一个合法组织颁发的用来加/解密的证书。 ? 部署、配臵繁琐。

? 同样的硬件环境，效率比HTTP慢很多。 12.5.5 技术实现

（1） 饶过AppScan软件扫描

43

软件开发项目管理培训

经过分析，AppScan对登陆界面的扫描，只扫描输入框的type属性值为password的控件，因此，我们把输入框的type的属性值为password的值改为text，然后用Javascript函数来模拟实现星号代替输入值的密码输入效果即可饶过该扫描。当然，结合方案（2）对密码进行加密传送则更安全。 示例步骤如下：

? 修改登陆页面原来的密码输入框的type属性为hidden。

? 新建一个密码输入控件，并添加对应的Javascript函数。

id=\? 在页面中加入如下js函数

（2） 对于敏感的地址，采用基于SSL的HTTPS传输协议，

HTTPS协议对传输的内容在传输过程中进行加密。

44

软件开发项目管理培训

12.6 SQL 注入

12.6.1 描述

随着B/S模式应用开发的发展，使得使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。攻击者可以通过互联网的输入区域，利用某些特殊构造的SQL语句插入SQL的特殊字符和指令，提交一段数据库查询代码（一般是在浏览器地址栏进行，通过正常的www端口访问），操纵执行后端的DBMS查询并获得本不为用户所知数据的技术，也就是SQL Injection（SQL注入）。

12.6.2 安全级别

高。 12.6.3 安全风险

可能会查看、修改或删除数据库条目和表。 12.6.4 解决方案

? 过滤掉用户输入中的危险字符。

? 检查用户输入的字段类型，确保用户输入的值和类型（如

45

软件开发项目管理培训

Integer、Date 等）有效，且符合应用程序预期。

? 屏蔽一些详细的错误消息，因为黑客们可以利用这些消息。 ? 使用专业的漏洞扫描工具。

? 企业要在Web应用程序开发过程的所有阶段实施代码的安全 检查。首先，要在部署Web应用之前实施安全测试，这种措施的意义比以前更大、更深远。企业还应当在部署之后用漏洞扫描工具和站点监视工具对网站进行测试。 12.6.5 技术实现

（1）采用过滤器技术。

过滤技术是通过特定过滤函数，去查找每个请求的每个参数对应的值，如果出现了不允许的字符，就会弹出如下提示：

点确定后即可回到请求页面，删除敏感字符即可请求成功！ 过滤器ParameterFilter.Java代码如下：

/** * 参数过滤类，过滤普通表单 */ public class ParameterFilter implements Filter { private Pattern scriptPattern; private Pattern sqlPattern; private Pattern letterPattern; private String notProtect = \ private String totalLetter = \

46