【活动j结束 获奖名单公布】从近期互联网企业密码泄露探讨如何构建一个安全的系统

kns1024wh

yifangyou 发表于 2012-01-12 22:22
1，如何设计一个安全的系统，构建一个安全的架构
答： 1) 目前采用的OAuth系统统一认证，这样利于多站点 ...

很多人有一种爱好就是拿着工具做SQL注入,XSS的攻击游戏。还有就是网上的很多免费的模板之类的东东也是有很多注入代码存在的，当放到了网站上就会出现问题，使用模板也要尽量使用自己能读懂代码的模板为好。

yifangyou

kns1024wh 发表于 2012-01-14 11:29
很多人有一种爱好就是拿着工具做SQL注入,XSS的攻击游戏。还有就是网上的很多免费的模板之类的东东也是有 ...

有什么比较好的SQL注入工具，我一直想找一种整站检查SQL注入的工具

pitonas

汪洋兄的活动~支持

yanyangtian4502

哪位？呵呵回复 63# pitonas


   

bbjmmj

58楼总结得不错！
还有一种广泛存在的泄密形式，没有名字，我给它取个名字，叫做“三层交换泄露”。三层交换设备可以截获网络通信内容，如果服务器和交换机交由不同的人员去管理，很容易产生这样的泄露，这是企业最经常犯的信息安全错误。
网络需要整合，这是我N年前的信息安全理念，不好意思太久没晋职称了，不晋职称就不用写论文，不用写论文就不会让大家知道我有想法。但是现在我要讲出来，因为泄密的事，已经涉及我的私人利益。

yulihua49

yanyangtian4502 发表于 2012-01-04 09:04
相信大家都知道,最近很多互联网公司出现了密码泄露的问题。怨声载道，也引发了很多的热议。作为技术人员 ...

时间就不要限定了吧？
节后我可以参与讨论，这方面我有体会。

yulihua49

broadway2008 发表于 2012-01-08 22:09
个人感觉hash叫取样算法更合适，因为取样时有损失的，是不可逆的，加密算法怎么也得有个解密算法才合适这样 ...

不对吧？ＭＤ５就是一种hash算法，不可逆的。这个算法和rsha1

yulihua49

broadway2008 发表于 2012-01-08 22:09
个人感觉hash叫取样算法更合适，因为取样时有损失的，是不可逆的，加密算法怎么也得有个解密算法才合适这样 ...

不对吧？ＭＤ５就是一种hash算法，不可逆的。这个算法和sha1已经被王小云破解了。
不过，一般商业用还可以，王小云没工夫管你们的事。

daixh302

以下是我的几个观点：
1,不要使用cookie保存会话信息；
2，永远不要相信用户提交的数据，做好安全检测；
3，密码保存方面，将用户的密码多加几次MD5保存；
4，不要保存明文密码；
5，禁止程序出错时暴露系统信息；
6，表单类的，最好加上隐藏域带上随机生成的VALUES值，提交时检测VALUES
7，验证码不要过于简单，防止机器识别
8，数据库不要使用常规的端口
9,系统后台目录不要用常规的ADMIN等
10，不要让服务器列目录