ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
-اعتبار سنجي دوباره يا signing مجدد براي انجام درخواست هاي حساس: اين كار به منظورحقيقي بودن درخواست انجام مي شود. حتي مي توان براي مطمئن شدن از حقيقي بودن درخواست، ازمكانيزم هاي خارجي نظير فرستادن يك ايميل يا پيام كوتاه به تلفن همراه كاربر استفاده كرد.-عدم پذيرش درخواست هاي حساس با متد GET (با استفاده از :(URLبراي پردازش دادههاي حساس كاربر، تنها از متد ،POST كه از طريق يك formانجام مي شود، استفاده كنيد.با اينحال، آدرس URL هدف، مي تواند شامل يك رشته رمزي تصادفي و سفارشي براي جلوگيري از اجرايحمله CSRFباشد.-فرستادن اطلاعات تنها با متد POST حفاظت موثري نيست:همانطور كه قبلا گفته شد بايد-در آدرس URL هدف، از يك رشته رمزي تصادفي و سفارشي استفاده كرد.استفاده از پارامتر:Referrer-اگرچه اين پارامتر نيز به سادگي قابل تغيير است، اما به عنوان يكروش كمكي در كنار روش هاي ديگر توصيه مي شود. در اين حالت، با كنترل اين پارامتر از همان ابتدا،مي توان درخواست هاي مخرب را نپذيرفت و از گذاشتن بار اضافي روي سرويس دهنده خودداري كرد.استفاده از پارامترهاي كنترلي: استفاده از پارامترهاي كنترلي براي جلوگيري از دستكاري وروديMD5ها پيشنهاد مي شود.اين كار مي تواند توسط يك رشته درهم مثلابا يك كليد محرمانه كهقابل حدس زدن نباشد، در پارامترهاي ورودي انجام گردد تا از صحت ورودي ها اطمينان حاصل شود.در زباندرمي توان ازorg.apache.struts2.components.Token كمكStruts:Java-گرفت.115.6.2.4روش مقابلهبا :Information Leakage and Improper Error Handling
Change language