防止SQL注入和XSS注入的方法总结
1、在OpenResty中添加naxsi加强防御
https://github.com/nbs-system/naxsi
安装方法
https://www.cnblogs.com/kgdxpr/p/9841456.html
2、防止SQl注入的思路和方法
1.永远不要信任用户的输入。对用户的输入进行校验,可以通过正则表达式,或限制长度;对单引号和 双"-"进行转换等。 2.永远不要使用动态拼装SQL,可以使用参数化的SQL或者直接使用存储过程进行数据查询存取。 3.永远不要使用管理员权限的数据库连接,为每个应用使用单独的权限有限的数据库连接。 4.不要把机密信息直接存放,加密或者hash掉密码和敏感的信息。 5.应用的异常信息应该给出尽可能少的提示,最好使用自定义的错误信息对原始错误信息进行包装 6.sql注入的检测方法一般采取辅助软件或网站平台来检测,软件一般采用sql注入检测工具jsky,网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入,XSS攻击等
MySQL安全问题(防范必知)
https://www.cnblogs.com/chenqionghe/p/4873665.html
3、在绝大多数位置,加上代码级判断,多重拦截攻击
package SQL_inject import "regexp" // 正则过滤sql注入的方法 // 参数 : 要匹配的语句 func FilteredSQLInject(to_match_str string) bool { //过滤 ‘ //ORACLE 注解 -- /**/ //关键字过滤 update ,delete // 正则的字符串, 不能用 " " 因为" "里面的内容会转义 str := `(?:')|(?:--)|(/\\*(?:.|[\\n\\r])*?\\*/)|(\b(select|update|and|or|delete|insert|trancate|char|chr|into|substr|ascii|declare|exec|count|master|into|drop|execute)\b)` re, err := regexp.Compile(str) if err != nil { panic(err.Error()) return false } return re.MatchString(to_match_str) }
4、防止xss攻击
使用这个方法 :golang web xss攻击预防https://blog.csdn.net/liangguangchuan/article/details/54617685
https://blog.csdn.net/suiban7403/article/details/80565728?depth_1-utm_source=distribute.pc_relevant.none-task&utm_source=distribute.pc_relevant.none-task
5、两台(或多台)主机之间,采用防火墙白名单IP互通,对外只提供80端口,防止端口攻击
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="172.16.110.55" accept" #重新载入 firewall-cmd --reload
一旦出现SQL注入,一切都是零!谁的代码不按要求进行开发防注入,就处罚谁,而且要狠狠处罚,按月薪一半进行处罚,切切!
相关推荐
ItBJLan 2020-06-11
sunlizhen 2020-04-10
qshpeng 2020-03-06
sswqycbailong 2020-07-28
csxiaoqiang 2020-07-26
码农成长记 2020-07-19
layloge 2020-07-05
layloge 2020-06-26
liangjielaoshi 2020-06-25
csxiaoqiang 2020-06-16
某先生 2020-06-13
layloge 2020-06-07
csxiaoqiang 2020-06-03
sswqycbailong 2020-06-01
layloge 2020-05-30
码农成长记 2020-05-28
qidu 2020-05-26
zhuangnet 2020-05-20
zhuangnet 2020-05-19