WEB安全性测试之拒绝服务攻击

1,认证

需要登录帐号的角色

2,授权

帐号的角色的操作范围

3,避免未经授权页面直接可以访问

使用绝对url(PS:绝对ur可以通过httpwatch监控每一个请求,获取请求对应的页面),登录后台的每个页面

3,session和cookie

sessioid- cookie欺骗

避免保存敏感信息到cookie文件中(企业内部人事系统,交易系统 等 使用active插件保存)

作用域

 

 

上图作用域为/根目录,会导致不同系统cookie 交叉读取. 

4,DDOS拒绝服务攻击

疯狂地想服务器发请求,损人不利己

(1),肉鸡

(2)攻击联盟

多台终端一起发起攻击服务器,分布式攻击

(3),利用tcp建立连接 三次握手规则 

 

1 C->S  第一次握手时 模拟不存在的ip,消耗服务器连接资源

2 S->C

3 C->S

 

相关文章