其他的安全问题

上传文件产生的问题

1. 上传文件
2. 再次访问上传的文件
3. 上传的问题被当作程序解析

上传问题防御

1. 限制上传程序

   • 限制上传后缀
   • 文件类型检查
   • 文件内容检查

2. 不能访问文件

3. 访问的时候禁止执行

4. 程序输出：先读取文件，再输出

信息泄露

1. 泄露系统的敏感信息：服务器配置，密码等
2. 泄露用户敏感信息
3. 泄露用户密码

信息泄露途径

1. 错误信息失控
2. sql 注入
3. 水平权限控制不当
4. xss/csrf

OAuth 思想

1. 在用户的授权下获取用户信息
2. 类似 github 第三方认证

拒绝服务攻击 DOS

1. 模拟政策用户
2. 大量占用服务器资源
3. 无法服务正常用户
4. 通过 tcp 半连接，让服务器半连接
5. http 连接，请求服务器容量不够的网站
6. DNS 服务器，带宽容量小

DDOS

1. 流量达到上百 G
2. 分布式（肉鸡，代理）

重放攻击

1. 请求被窃听
2. 再次发起相同请求
3. 导致用户多次消费
4. 用户登录态盗取
5. 刷票
6. 加密解决
7. 加时间戳和签名解决
8. 加 token(session)解决