文章图片


XSS（xss漏洞）
最常见的就是cookie挟持 ， 简单的说就是我们要用浏览器登录一个网站 ， 通常是用存有手机客户端电脑浏览器中的cookie来储存顾客唯一标识的动态口令 ， 在Java写就了网站里 ， 是一个jsessionid ， 一般通过抓包软件获得了电脑浏览器的jsessionid ， 那在另一个地方 ， 就能仿真模拟客户的登陆 ， 进而盗取客户的材料甚至进行一些登陆之后才可以做出来的实际操作 ， 不良影响非常大 。
文件传送漏洞
许多网站都是有文件传送的功效 ， 而极少数网站并未对文件后缀名进行监管 ， 因此可能被恶意人把握机会 ， 提交一些恶意软件 ， 例如对于Java网站的JspBrowser.jsp ， 这一程序流程提交并实施后 ， 还可以在电脑端见到全部云服务器目录结构 ， 所有文件夹 ， 及其还可以在网站上实行网络服务器上的一些指令 ， 危害很大 ， 一定要避免这样的事情 ， 最先需要对提交文件的类型进行限定 ， 同时对上传文件夹开展自动生成的处理方法 ， 促使网络黑客没法获取到提交途径 ， 此外将上传文件夹放到另外一个网络存储器上 ， 而非网站服务器内 ， 将上传文件夹设为不能实行文件目录 ， 全是避开这一攻击方式 。
网站通信安全SSL
大家都清楚 ， 商业网站如百度搜索 ， 淘宝已实现了整站数据加密 ， 其实就是布署了https证书 ， https证书事实上是一种非对称加密算法 ， 用于对网页和服务器之间的通信信息进行数据加密 ， 促使在公在网上传送的信息不容易被别人随便抓包软件并分析 ， 用于盗取 ， 伪造 。 在投资类 ， 金融投资的平台上尤其务必 ， 提醒的是 ， 现如今很多企业不仅仅有网站 ， 还有iOS ， 安卓系统 ， 微信等手机端 ， 那挪动端插口 ， 和微信上的网站 ， 也要布署SSL证书 ， 保障数据安全 。访问控制
针对网络服务器而言 ， 最重要的就是要有一个好的访问控制策略 ， 主要对不必要端口号开展关掉 ， 此外对长期用的例如sshftp默认端口进行调整 ， 还会巨大减少安全风险 ， 也有linux的iptable ， 限定一些ip对一些关键端口号的应用 ， 都能够提升安全系数 。 针对数据库系统而言 ， 设置白名单是非常必要的 ， 对读写能力账户和写保护账号登录地址进行分割 ， 学习培训开发者规范使用账户 ， 监管运维团队在工作环境操作 ， 如果需要能用堡垒机 ， 运维审计等方式安全管理 。

【网络安全工程师常见技巧（一）NISP和CISP证书逐步恢复线下考试】NISP和CISP证书逐步恢复线下考试
于2023年1月起 ， 逐步恢复CISP/NISP二级线下考试 ， 线下考试不再查验核酸、健康码、行程卡 ， 请提前做好恢复线下考试的相关安排 。