Главные подсказки для безопасных [закрытых] веб-приложений

В Java все переменные, которые вы объявляете, на самом деле являются «ссылками» на объекты (или примитивы), а не самими объектами.

При попытке выполнить один метод объекта , ссылка просит живой объект выполнить этот метод. Но если ссылка ссылается на NULL (ничего, нуль, void, nada), то нет способа, которым метод будет выполнен. Тогда runtime сообщит вам об этом, выбросив исключение NullPointerException.

Ваша ссылка «указывает» на нуль, таким образом, «Null -> Pointer».

Объект живет в памяти виртуальной машины пространство и единственный способ доступа к нему - использовать ссылки this. Возьмем этот пример:

public class Some {
    private int id;
    public int getId(){
        return this.id;
    }
    public setId( int newId ) {
        this.id = newId;
    }
}

И в другом месте вашего кода:

Some reference = new Some();    // Point to a new object of type Some()
Some otherReference = null;     // Initiallly this points to NULL

reference.setId( 1 );           // Execute setId method, now private var id is 1

System.out.println( reference.getId() ); // Prints 1 to the console

otherReference = reference      // Now they both point to the only object.

reference = null;               // "reference" now point to null.

// But "otherReference" still point to the "real" object so this print 1 too...
System.out.println( otherReference.getId() );

// Guess what will happen
System.out.println( reference.getId() ); // :S Throws NullPointerException because "reference" is pointing to NULL remember...

Это важно знать - когда больше нет ссылок на объект (в пример выше, когда reference и otherReference оба указывают на null), тогда объект «недоступен». Мы не можем работать с ним, поэтому этот объект готов к сбору мусора, и в какой-то момент VM освободит память, используемую этим объектом, и выделит другую.

11
задан Community 9 September 2008 в 22:13
поделиться

6 ответов

Microsoft Technet имеет en превосходную статью:

Десять подсказок для разработки, здания и развертывания более безопасных веб-приложений

Вот темы для подсказок, которым отвечают в той статье:

  1. Никогда непосредственно Доверительный ввод данных пользователем
  2. Сервисы не должны иметь ни системы, ни доступа администратора
  3. Примените лучшие методы SQL Server
  4. Защитите активы
  5. Включайте аудит, вход и создание отчетов о функциях
  6. Проанализируйте исходный код
  7. Разверните компоненты Используя защиту подробно
  8. Выключите всесторонние сообщения об ошибках для конечных пользователей
  9. Знайте 10 законов администрирования системы обеспечения безопасности
  10. Имейте план реагирования на инциденты безопасности
10
ответ дан 3 December 2019 в 05:14
поделиться

Не доверяйте вводу данных пользователем.

Проверка ожидаемых типов данных и форматирование важны для avaoiding Сценариев Внедрения SQL и перекрестного Сайта (XSS) нападения.

6
ответ дан 3 December 2019 в 05:14
поделиться
  1. Выйдите из обеспеченного содержания пользователя для предотвращения нападений на XSS.
  2. Используя параметризованный SQL или хранимые процедуры для предотвращения нападений Внедрений SQL.
  3. Выполнение веб-сервера как непривилегированная учетная запись для уменьшения нападений на ОС.
  4. Установка каталогов веб-сервера в непривилегированную учетную запись, снова, для уменьшения нападений на ОС.
  5. Создавание непривилегированных учетных записей на SQL-сервере и использование их, чтобы приложение минимизировало нападения на DB.

Для больше подробно информации, всегда существует Руководство OWASP по Созданию Безопасных веб-приложений и веб-сервисов

4
ответ дан 3 December 2019 в 05:14
поделиться

OWASP является Вашим другом. Их Лучшие Десять Списков уязвимостей системы обеспечения безопасности веб-приложения включают описание каждой проблемы и как защитить от него. Сайт является хорошим ресурсом для получения дополнительной информации о безопасности веб-приложения и является богатством инструментов и и методы тестирования также.

1
ответ дан 3 December 2019 в 05:14
поделиться

Некоторые мои фавориты:

  1. Вход фильтра, Вывод Escape, чтобы помочь принять меры против XSS или атак с использованием кода на SQL
  2. Используйте подготовленные операторы для (атак с использованием кода на SQL) запросов базы данных
  3. Отключите неиспользованные учетные записи пользователей на своем сервере для предотвращения нападений пароля грубой силы
  4. Удалите информацию о версии Apache из HTTP-заголовка (ServerSignature=Off, ServerTokens=ProductOnly)
  5. Выполните свой веб-сервер в chroot тюрьме для ограничения повреждения, если поставленный под угрозу
1
ответ дан 3 December 2019 в 05:14
поделиться

Установите безопасный флаг на cookie для приложений SSL. Иначе всегда существует нападение угона, которое намного легче провести, чем повреждение crypto. Это - сущность CVE-2002-1152.

0
ответ дан 3 December 2019 в 05:14
поделиться
Другие вопросы по тегам:

Похожие вопросы: