.NET Security Application/Web Development - Part I
•Download as PPTX, PDF•
6 likes•573 views
Community sharing session for how to development secure web application
Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Similar to .NET Security Application/Web Development - Part I
Similar to .NET Security Application/Web Development - Part I (20)
More from Chen-Tien Tsai
More from Chen-Tien Tsai (20)
.NET Security Application/Web Development - Part I
- 1. .NET 安全應用程式開發 – 概觀 .NET Security Application Development – Part I Blackie Tsai blackie1019@gmail.com August 2018
- 3. 網際網路安全概觀
- 4. 14 70% 66% 從 S&P 500 看世界趨勢 預計到2026年，企業的平均壽命將從1990年的20年縮 減至14年 IT預算：運行商業為70％，商業成長為20％，商業轉型 僅為10％ 66％企業計畫提升資訊安全預算作為對此風險的直接回 應
- 6. 2018 Global Risk Report
- 7. Web應用程式成為攻擊的門戶 •根據 Gartner 的調查，資訊安全攻擊有 75% 都是 發生在 Web 應用程式層而非網路層面上，2/3的 Web 站點都相當脆弱，易受攻擊
- 8. 資安對企業的影響
- 9. 我們所面對的現況…
- 10. 2017年普遍安全威脅趨勢
- 11. 智聯網時代資安面臨的挑戰 •入侵點的增加，防禦邊界擴大 •軟體/韌體 更新與管理 •資安防護設備 『間』不合作 • 新世代防火牆(Next Generation Firewall，NGFW) • 新世代入侵防禦系統 (Next Generation Intrusion Prevention System ，NGIPS) • 網頁應用程式防火牆(Web Application Firewall，WAF) • 應用程式本身(End-Point) •看不到防護狀況 無法安排優先順序
- 12. 法律與規章
- 14. 新世代資安防護思維 •資安已是「商務風險」的議題 • 營業秘密遭竊取 • 重要業務系統癱瘓/失效 •資安不在只是 IT (MIS) 的問題 • 有更多是系統開發上的問題 • 引入軟硬體防護治標、注入自身軟體開發流程治本 •資安造成的商務風險 • 營收Ｘ競爭力Ｘ商譽 =>損失
- 15. 駭客與其分類 • 駭客（Hacker） • 白帽（White Hat） • 也稱為道德駭客，去試探和入侵他們的電腦系統以確認這些系統的安全 性，並提出建議以提高安全程度 • 黑帽（Black Hat） 是犯罪分子，他們的出發點是惡意的。在未經邀請下，他們就侵入受害 者的電腦系統只為了獲取自己的利益 • 網路犯罪份子（Cybercriminal） • Cracker（破壞者） • 灰帽（Grey Hat） • 他們有些行為與非法行動有關，但某些行動也是好的 • 另一則說法: 上班時間在資安社群工作，但是下班後又從事黑帽駭客的人 • 激進駭客（Hacktivist）
- 16. 道德入侵(Ethical Hacking) •Ethical Hacker是指行為合乎道德倫理規範的駭客， 又稱為白帽駭客 •道德入侵(Ethical Hacking)則是透過白帽駭客進行 一系列的滲透測試，進而對系統有更全面的了解
- 17. 網頁應用程式概觀
- 18. 網路安全的本質 • 資料安全 • 應用程式安全 • 網路安全
- 19. • 資料訪問(Data access) • HTTP 協定(HTTP Protocol) • 資料庫(Database) • Session • Cookie • 認證(Authentication) 網頁應用程式安全要點
- 20. • 不要相信任何來自客戶端的輸入資料 • 重要驗證必定從伺服器後段進行 • 必用白名單過濾 • 可再透過黑名單進行過濾 • 資料消毒，過濾不安全資料 • 避免將輸入反饋給用戶 • 所有應用程式輸出之資料必定編碼 資料訪問(Data access)
- 21. • 全面採用 HTTPS • SSL • TLS • 啟用強制安全傳輸技術(HSTS) • 使用適合的 HTTP Method • 透過 HTTP Header 加強安全性 • Content-Security-Policy • X-XSS-Protection • X-Frame-Options • X-Content-Type-Options HTTP 協定(HTTP Protocol)
- 22. • 資料消毒，過濾不安全資料 • 避免從用戶輸入直接串接SQL語法 • 透過 Parameters 將查詢需要用到的資料帶入 資料庫(Database)
- 23. • 永遠不要公開 session 標識 • 使用屬性保護 session 與 cookie • 設置適當的到期日期與時間 • 當有以下情境時，必定創建一個新的 session • 經過身份驗證 • 當用戶更改權限時 Session
- 24. • 安全 • 啟用 httpOnly • Cookie只限被伺服端存取，無法在用戶端讀取 • 啟用 secure flag: • Cookie只能透過https的方式傳輸 • 必定設定過期 • 透過網域/路徑分散管理 Cookie
- 25. • 密碼複雜度、長度與曝光度 • 弱加密算法 • 雜湊與加密 • 避免將密碼存於外部服務 • 使用SSO作整合登入 • 啟用二階段流程認證 • 隱蔽已存在(已知)的資訊 認證(Authentication)
- 26. 常見安全漏洞與攻擊
- 27. 攻擊與漏洞知識分類 • Hacking Web Application(入侵網站程式) • Hacking Wireless Network(入侵無線網路) • Hacking Mobile Platforms(入侵行動平台) • System Hacking(入侵電腦系統) • Evading IDS, Firewalls and Honeypots(規避 入侵偵測/防火牆與誘捕系統) • Cloud Computing(雲端運算) • Scanning Networks(網路服務與弱點掃描) • Social Engineering(社交工程) • Enumeration(列舉系統資訊) • SQL Injection(資料隱碼攻擊) • Malware Threats(惡意程式威脅) • Sniffers(網路監聽與攻擊) • Denial-of-Service(阻斷服務攻擊與傀儡 網路) • Session Hijacking(連線劫持) • Cryptography(密碼學) • Hacking Webservers(入侵網站)
- 28. 弱點與漏洞發佈單位 WASC Threat Classification CWE/SANS Top 25 OWASP Top 10 Web Application Security Consortium
- 29. WASC Threat Classification • 由Web Application Security Consortium所發佈的網路安全威 脅分類 • 由許多資訊安全的專業人員及公司 所組成的專門研究網站安全的聯盟， 其將網站的安全威脅進行分類 • 最新版停留在V2 • 認證 • 認證不足、弱密碼驗證 • 授權 • Session 過期、授權不足 • 客戶端攻擊 • 跨腳本攻擊 • 指令執行 • SQL Injection • 資訊暴露 • 個資外洩 • 邏輯攻擊 • 服務阻斷
- 30. CWE/SANS Top 25 • CWE/SANS Top 25 是由 MITRE 和 SANS 合作所發布前25大網路安 全威脅 • SANS (SysAdmin, Audit, Networking, and Security) 則是 個專門進行資訊安全教育、研究的 組織，由US-CERT 所資助的 MITRE組織所發布有關網頁應用程 式安全弱點的類別
- 31. OWASP Top 10 • OWASP (Open Web Application Security Project) 為一開放社群， 其主要的目的在於解決網頁應用程 式的安全問題、發展安全相關的工 具及技術 • OWASP Top 10為其中的一項計畫， 每隔一段時間就會發布對於網頁應 用程式最具威脅性或最常見的十大 弱點
- 32. 常見漏洞與攻擊 • 分散式阻斷服務攻擊(distributed denial-of-service, DDoS) • 跨站腳本攻擊(Cross-Site Scripting, XSS) • 跨網站偽造請求(Cross-Site Request Forgery) • 參數竄改(Parameter Manipulation) • 重新導向攻擊(Open Redirect) • 未驗證的轉發攻擊(Unvalidated Forwards) • SQL注入攻擊(SQL Injection) • 指令注入攻擊(Command Injection) • Session 攻擊(Session Attacks) • 網頁偽裝(Clickjacking) • 不安全的加密方式(Insecure Cryptographic Storage) • 中間人攻擊(MiTM)
- 33. • 阻斷服務攻擊(Denial of Service attack, DoS)，其目的為透過特殊的攻 擊方式來耗盡提供服務伺服器的資源或是頻寬，以達到讓其他的使用者無 法使用到服務 • 當這項攻擊是透過兩台以上的電腦或是殭屍網路來執行時則稱為 分散式 阻斷服務攻擊(distributed denial-of-service attack, DDoS )，其中又 分為針對網路頻寬以及針對系統資源兩種不同類型的攻擊方式 分散式阻斷服務攻擊(DDoS)
- 34. 分散式阻斷服務攻擊(DDoS)-攻擊網路頻寬 •直接攻擊 • ICMP / IGMP 洪水攻擊 • 這種攻擊是發送大量的這兩種協定的封包來消耗目標的頻寬資源。 • UDP 洪水攻擊 • UDP 攻擊中又分為小封包跟大封包兩種類方式: • 小封包（64 位元組）是要利用網路設備需要對每一個封包進行檢查的行為下增加設備的負擔 • 大封包（1500 位元組以上）是要迫使攻擊目標在接收到封包後要進行重組，來達到網路壅塞的目 的 •反射攻擊 • 比直接攻擊來的有效率且隱密性較高 •主要由外部硬體設備與第三方軟體設計阻擋邏輯
- 36. 分散式阻斷服務攻擊(DDoS) – 反射攻擊 Botnet Reflector Victim
- 37. 分散式阻斷服務攻擊(DDoS)-系統資源 •目標為伺服器的CPU, Memory, Connection 與 應 用程式負載量 •包含: • TCP 連接洪水攻擊 • SYN 洪水攻擊 • RST 洪水攻擊 • THC SSL DoS 攻擊 • LAND 攻擊 •主要由應用程式開發端設計阻擋邏輯
- 39. • XSS通常是透過HTML/JavaScript這類不在伺服器端執行、而在使 用者端的瀏覽器執行。 • 可用來竊取用戶的cookie，甚至於冒用使用者的身份。 • 早期XSS攻擊如網路銀行、電子郵件、部落格或其他需要有帳號才能進入 的網站。近年攻擊則已可以完整的控制瀏覽器，就像木馬程式一樣。 • XSS攻擊分類： • Reflected XSS (AKA Non-Persistent or Type II) • Stored XSS (AKA Persistent or Type I) • DOM Based XSS (AKA Type-0) • 根據語言分類: • Client XSS • Server XSS 跨站腳本攻擊(XSS)
- 40. 跨站腳本攻擊(XSS)
- 42. • 主要的攻擊行為就是利用當使用者合法取得網站使用認證後，透過 某些方式偽造網站合法使用者的身份進行非法的存取動作，合法使 用者即可能在不自覺的情況下被引導到駭客的攻擊網頁。 跨網站偽造請求(Cross-Site Request Forgery)
- 43. 跨網站偽造請求(Cross-Site Request Forgery) 使用者被引進入 B 非法誘餌網站 產生合法 Cookie 於瀏覽器上 使用者瀏覽並登入 A 合法網站 B非法誘餌網站要求訪問 A 合法網站 (包含攻擊代碼) 使用者帶著攻擊碼與合法cookie訪問 A 合法網站
- 45. • 駭客通常會透過竄改Web應用程式的Client端與Server端的所傳遞 參數，來對應用程式進行攻擊。這些所傳遞的參數通常包含了 • URL Query String • 表單資料(Form field values) • Cookies • HTTP Headers。 參數竄改(Parameter Manipulation)
- 47. • Web 應用程式經常將使用者重新導向至登入頁面存取需要驗證的 資源時。 包含重新導向 typlically returnUrl querystring 參數，以 便使用者可以傳回至原本要求的 URL 之後使用者成功登入。 使用 者驗證之後，它們是重新導向至其原先要求的 URL。 因為要求的 querystring 中指定的目的地 URL，惡意的使用者無法修改查詢字 串。 遭竄改的查詢字串可能會允許將使用者重新導向至外部，惡意 的站台的站台。 • 又被稱為未驗證的轉址攻擊(Unvalidated Redirect) 重新導向攻擊(Open Redirect)
- 50. • 運用 HTTP 302 (Redirect) 的漏洞，因為 HTTP 302 會將使用者的 瀏覽器轉到指定的網址，而若目標網址又有惡意程式的話，等於讓 使用者直接被導向惡意網頁。 • 很類似重新導向攻擊(Open Redirect)但不一樣 未驗證的轉發攻擊(Unvalidated Forwards)
- 52. • 又稱SQL隱碼攻擊，是發生於應用程式之資料庫層的安全漏洞。簡 而言之，是在輸入的字串之中夾帶SQL指令，在設計不良的程式當 中忽略了檢查，那麼這些夾帶進去的指令就會被資料庫伺服器誤認 為是正常的SQL指令而執行，因此遭到破壞或是入侵 • SQL注入攻擊高風險情況: • 在程式中使用字串聯結方式組合SQL指令 • 在程式連結資料庫時使用權限過大的帳戶 • 在資料庫中開啟並授權了不必要但權力過大的功能 • 太過於信任使用者所輸入的資料，未限制輸入的字元數，以及未對使用者 輸入的資料做潛在指令的檢查與過濾 SQL注入攻擊(SQL Injection)
- 53. SQL注入攻擊(SQL Injection) http://students.com?student Code=A123 or 1=1;-- SELECT * FROM students WERE studentCode=A123 or 1=1;-- Return data for all studentsGet all students data
- 61. • Cookie 是網站在瀏覽器中存放的資料，內容包括使用者在網站上 的偏好設定、或者是登入的 Session ID。網站利用 Session ID 來 辨認訪客的身份。 • Cookie 可透過跨站腳本攻擊(Cross-Site Scripting, XSS)取得 • 取得 Session 的三種手法: • 猜測Session ID (Session Prediction) • 竊取Session ID (Session Hijacking) • 固定Session ID (Session Fixation) Session 攻擊(Session Attacks)
- 62. Session 攻擊(Session Attacks) •猜測Session ID (Session Prediction) • Session ID 的長度、複雜度、雜亂度不夠，就能夠被攻擊者猜測。 • 根據目標使用者的習慣與背景
- 63. Session 攻擊(Session Attacks) •竊取Session ID (Session Hijacking) • 跨站腳本攻擊 (Cross-Site Scripting (XSS))：利用 XSS 漏洞竊取使用者 Cookie • 網路竊聽：使用 ARP Spoofing 等手法竊聽網路封包獲取 Cookie • 透過 Referer 取得：若網站允許 Session ID 使用 URL 傳遞，便可能從 Referer 取得 Session ID
- 64. Session 攻擊(Session Attacks) •固定Session ID (Session Fixation) • 攻擊者誘使受害者使用特定的 Session ID 登入網站，而攻擊者就能取得受害者 的身分。
- 66. • 透過偽裝仿製的方式，要讓受害者在假的網站上執行真實的操作， 藉以綁架受害者的輸入與點擊，取得受害者關鍵資訊與敏感資料。 • 主要是透過取得使用者授權(Authenticated Actions)進行正常操 作，所以能取得的資料敏感度極高。 網頁偽裝(Clickjacking)
- 69. • 不安全的密碼儲存器 (Insecure Cryptographic Storage)：Web應用程 式沒有對敏感性資料使用加密、使用較弱的加密演算法或將金鑰儲存於容 易被取得之處。 • 密碼或敏感資料加密原則太低或沒有設定 • 加密方式不夠強 • 不對的雜湊使用方式 不安全的加密方式(Insecure Cryptographic Storage)
- 71. • 中間人攻擊 (Man-in-the-Middle Attack, MiTM) 是一種從中「竊 聽」兩端通訊內容的攻擊手法，可能對企業造成重大威脅。由於駭 客不僅能從中接收資料，還能從中插入自己的資料，因此企業所傳 輸的資料不僅可能外流，更可能遭到竄改。有鑑於企業網路很可能 會傳輸一些關鍵的資料，因此 MiTM 攻擊是 IT 人員必須正視的重 大真實威脅。 • 「以HTTPS連上網站進行交易十分安全」 SSL它只保證傳輸期間的 安全，不保證端點安全 • 網路資安實作-wireshark擷取封包 中間人攻擊(MiTM)
- 74. 任何資安事件都不是單一失誤 • 而是一連串的錯誤 • 查詢各版本漏洞 • https://www.exploit-db.com • 測試者工具 • https://portswigger.net/burp • 資安漏洞通報 • https://zeroday.hitcon.org
- 75. Demo
Editor's Notes
- Part I (1.5 hr, 60 pages) Ch.1 - 網際網路安全概觀(30 mins) Ch.2 - 常見安全漏洞與攻擊(60 mins)
- Standard & Poor's 500，S&P 500）简称标普500或史坦普500，是一個由1957年起記錄美國股市的平均记录，觀察範圍達美国的500家上市公司。
- 雲、大、物、智、移是目前主流但風險卻暴露的更高
- Ransomware 勒索軟件 political hacking 政治黑客“是一個負面的術語，歸因於一個人是某集團的一部分，但其意圖與目標更加一致而不是為了個人信念.......當一群類似政治派別的”政治黑客“聚集在一起時，他們有時被稱為“政治黑客包 攻擊技術正在發展 犯罪分子正在開發新技術 走向有組織的犯罪 APT攻擊 進階持續性滲透攻擊
- 營業秘密遭竊取 全球會計師事務所德勤(Deloitte)︐ 09/25日傳出遭到駭客竊取機密文件 的消息︐公司雲端更有多達5百萬封 電子郵件的個資恐遭外洩。(路透)。 勒索軟體 導致 產線停止、金錢、 數位資產的損失 本田(Honda)表示︐雖然針對 WannaCry提高防護︐但仍發現日本、 北美、歐洲、中國等地網路遭到攻擊︐ 因此決定暫時關閉琦玉縣一座工廠。 資安造成的商務風險 2.5萬監視器成DDoS殭屍網路大軍︐ 多數來自台灣 ! 傀儡網路氾濫︐臺灣成為全球DDoS 攻擊幫兇︕
- 激進駭客（Hacktivist） 你可能聽說過一個秘密組織 – Anonymous。這群駭客會去癱瘓他們所抗議企業或政府的電腦系統。 激進駭客並沒辦法簡單的被歸類於白帽或黑帽。跟白帽或黑帽駭客們不同，激進駭客的出發點是政治動機而非金錢
- https://s.itho.me/cybersec/2018/pdf/0313_103-1.pdf
- 不要相信任何來自客戶端的輸入資料 重要Whitelist Blacklist if you can’t whitelist Sanitization Avoid reflecting input back to a user Encode all application data output
- HTTPS for all SSL TLS HSTS Strict-Transport-Security HTTP Method HTTP Header Content-Security-Policy X-XSS-Protection X-Frame-Options X-Content-Type-Options 網站的回覆表頭帶有「Strict-Transport-Security」，該表頭會讓瀏覽器記得，該網站(正確說法是域名)有提供HTTPS安全連線，並於下次連線中強制使用HTTPS，注意是強制喔，不論是點進不帶有https的連結(例如:這個)，或是你故意在網址列打入網址時使用http://為開頭，瀏覽器都會先強制轉換成https再送出請求
- Sanitization Avoid building Query strings from user input Bind parameters for queries, not concatenate
- Never expose session identifier Protect session cookie with attribute Set proper expiration date Create a new session after authenticating when a user change privilege
- Secure HttpOnly Expires Domain/Path https://www.ajoshow.com/2017/07/19/201707192223/
- Password Length Hash and Salt Avoid storing passwords for external services SSO 2FA Conceal if users exist
- - Introduction to Ethical Hacking(介紹何謂道德入侵) - Footprinting and Reconnaissance(蒐集蛛絲馬跡與網路勘查) - Scanning Networks(網路服務與弱點掃描) - Enumeration(列舉系統資訊) - System Hacking(入侵電腦系統) - Malware Threats(惡意程式威脅) - Sniffers(網路監聽與攻擊) - Social Engineering(社交工程) - Denial-of-Service(阻斷服務攻擊與傀儡網路) - Session Hijacking(連線劫持) - Hacking Webservers(入侵網站) - Hacking Web Application(入侵網站程式) - SQL Injection(資料隱碼攻擊) - Hacking Wireless Network(入侵無線網路) - Hacking Mobile Platforms(入侵行動平台) - Evading IDS, Firewalls and Honeypots(規避入侵偵測/防火牆與誘捕系統) - Cloud Computing(雲端運算) - Cryptography(密碼學)
- 這不是微軟的WASC(Windows Advanced Security Center) V2 是2010年公布的 Authentication Authorization Client-side Attacks Command Execution Information disclosure Logical Attacks
- SANS/CWE Top 25 and the OWASP Top 10
- ICMP 是用來查詢網路環境狀態的協定，IGMP 是用在管理網際網路群播成員的協定，這種攻擊是發送大量的這兩種協定的封包來消耗目標的頻寬資源。 UDP 主要是用來提供快速、輕便及較不可靠的資料傳送服務，由於傳送時不需要建立複雜的連線，所以被攻擊者用來洪水攻擊，在 UDP 攻擊中又分為小封包跟大封包兩種類方式，小封包（64 位元組）是要利用網路設備需要對每一個封包進行檢查的行為下增加設備的負擔，大封包（1500 位元組以上）是要迫使攻擊目標在接收到封包後要進行重組，來達到網路壅塞的目的。
- ACK 反射攻擊 主要是利用 TCP 三向交握的機制來做攻擊，攻擊者將 SYN 訊息來源的 IP 位址修改成目標的 IP 位址，伺服器在接收到 SYN 訊息後會回傳一個 ACK 訊息給目標，這樣攻擊者就能比較有效的去隱藏攻擊的來源。 DNS 放大攻擊 DNS（Domain Name System）是用來將網域名稱跟 IP 位址互相映射的一個服務，當使用者輸入網址的時候，電腦就會先去傳送查詢的封包到 DNS 伺服器，然後接收對映的 IP開始後建立連線，一般來說回傳的封包因為包含查詢的結果，所以封包都會大於請求的封包，這種攻擊就稱為放大式攻擊，這種攻擊是由攻擊者先提出查詢請求，並在來源端修改成目標的 IP，讓放大後的查詢結果導向目標。 NTP 放大攻擊 NTP（Network Time Protocol）是用來使電腦時間同步化的一種協定，使用者可以透過協定與伺服器校正自身電腦的時間，攻擊者利用 monlist 這項功能的安全漏洞來取得最近與伺服器連接的電腦列表，並透過填入假的來源 IP 來將這份列表傳給目標來進行放大式攻擊。 SNMP 放大攻擊 SNMP（Simple Network Management Protocol）是目前網路中應用較為廣泛的網路管理協定，他提供了一套管理方式來監控和維護網路設備，其中一個管理的指令 GetBulk 是用來一次取得大量網管資訊庫的指令，與 NTP 放大攻擊相同，將來源 IP 更改為目標 IP 來進行攻擊。
- TCP 連接洪水攻擊 利用三方交握的性質來進行攻擊，每台伺服器所能建立的連線是由一個連接表來記錄，這些連接的數量是有限制的，當連接的數量超過伺服器所能負擔的數量，就無法在與之後的使用者建立連線來提供服務。 SYN 洪水攻擊 利用三方交握的性質來進行攻擊，攻擊者對伺服器送出一個 SYN，在伺服器回傳 SYN + ACK 後不發送最後的 ACK ，讓這條連線處於空窗的狀態，隨著空窗的連線越來越多，能夠正常使用的部分也越來越少來達到阻斷攻擊的效果。 RST 洪水攻擊 在 TCP 連線要終止的時候，通常都是透過傳送 FIN 訊號進行四次揮手來終止，但是當兩邊其中一方有出現異常狀態時，無法進行完整的四次揮手時就會傳送 RST 來將連線強制中斷，攻擊者趁著目標與他人建立連線時，模仿目標來傳送 RST 來阻礙目標使用其他服務。 THC SSL DoS 攻擊 在進行 SSL 連線時都先需要進行 SSL 握手，雙方交換加密金鑰，來進行身分認證，在正常的情況下這個過程只需要執行一次，THC SSL DoS 攻擊是利用 Renegotiation 選項去重複執行這個協商金鑰過程，讓伺服器因為要運算金鑰而耗費大量資源。 LAND 攻擊 攻擊者發送一個來源 IP 為目標 IP 位址封包給目標，這樣目標會將這個封包回傳給自己形成無窮迴圈，最終耗盡資源。
- Reflected XSS Attack 是單純的瀏覽網頁，Reflected 是指不會被儲存在資料庫中，透過社交工程給受害者典籍 Stored XSS Attack 網頁中已植入惡意的語法連結(會被保存在伺服器資料庫中的 JavaScript 代碼引起的攻擊)，通常是由網頁後端直接嵌入由前端使用者所傳送過來的內容造成的，最常見的就是以 POST 方法傳送資料給伺服器時，伺服器未檢查就將內容回應到網頁上所產生的漏洞。 Dom-based XSS Attack 因此 DOM-Based XSS 就是指網頁上的 JavaScript 在執行過程中，沒有詳細檢查資料使得操作 DOM 的過程代入了惡意指令，受Client 瀏覽器的腳本程式所引響。 。 除了要注意攻擊的手法外，電腦保持更新至最新版也是很重要的。瀏覽器廠商、軟體開發人員與安全專業人員的工作便是防止這些攻擊的關鍵。
- Hacker 發現網站漏洞 將有問題的語法注入網站內 受害人點選有問題的語法連結 將個人敏感資料或是cookie, session內容取得或是轉換網址
- http://www.ctbaa.org/site_item_content_2.php?site_map_item_id=546%22%3E%3Cscript%3Ealert(%27XSS%27)%3C/script%3E
- 一般網站在使用者進行驗證後，會將驗證成功的資訊存放於 Cookie 中，當使用者尚未進行登出動作時，此 Cookie 都還視為有效認證，而在使用者瀏覽網站其他頁面時即會將此認證資訊回傳伺服器以便進行其他操作，但如此時使用者在不自覺的情況下瀏覽了駭客置入攻擊代碼的網頁，駭客即可使用相同一份身分驗證資訊發送操作動作回該認證網站進行攻擊。
- 駭客通常會透過竄改Web應用程式的Client端與Server端的所傳遞參數，來對應用程式進行攻擊。這些所傳遞的參數通常包含了QueryString、表單資料(Form field values)、cookies以及HTTP的檔頭資料(Headers)。建議防護的作法有下列幾項: QueryString(查詢參數)操作 不要在QueryString中，放入重要的敏感性資料，以避免被駭客擷取，重要且敏感性資料應該採用Session來進行識別與溝通，並將這些機敏性資料放在伺服器上。建議採用POST method 而不是QueryString，如果要使用，建議請加密其重要內容。 表單資料(Form field values)操作 一般來說，表單資料通常會存在HTML Form區域，容易遭受駭客監看其數值或資料，建議應該採用Session來進行識別與溝通，並將這些機敏性資料放在伺服器上。 Cookies 操作 一般來說，Cookie資料通常會透過兩種方式存放，一種方式是儲存在實體機器上，另外一種則以記憶體暫存方式與使用者端瀏覽器等同時存在。現今駭客攻擊技術進步，有非常多的工具可以用來竄改記憶體中的cookie資料。而Cookie的操作通常則利用竄改資料，取得非法的授權或使用者身份而進行破壞性操作。雖然SSL可以保護Cookie在網路上的傳輸，但卻無法防止使用者端的Cookie被破解或竄改，建議應針對Cookie內容進行加密，以防止遭受竄改或復原。 HTTP Headers 操作 許多應用程式是透過Client所傳送過來的HTTP headers，來進行下一步動作的判斷或決定如何進行操作，駭客可以透過修改HTTPHeaders來欺騙許多應用程式，很多例如HTTP Referer可能遭受竄改，而讓應用程式無法得知Client 真實的來源位址。
- http://www.wikiwand.com/zh-tw/SQL%E8%B3%87%E6%96%99%E9%9A%B1%E7%A2%BC%E6%94%BB%E6%93%8A 在應用程式連結資料庫時使用權限過大的帳戶(root，sa) 連接資料庫 在資料庫中開放了不必要但權力過大的功能（例如在Microsoft SQL Server資料庫中的xp_cmdshell延伸預存程式或是OLE Automation預存程式等）
- HTML注入:
- 分析 Session ID 的工具可以用以下幾種 OWASP WebScarab Stompy Burp Suite https://devco.re/blog/2014/06/03/http-session-protection/
- 受害者已經登入網站伺服器，並且取得 Session ID，在連線過程中攻擊者用竊聽的方式獲取受害者 Session ID。 攻擊者直接使用竊取到的 Session ID 送至伺服器，偽造受害者身分。若伺服器沒有檢查 Session ID 的使用者身分，則可以讓攻擊者得逞。
- 攻擊者從網站取得有效 Session ID 使用社交工程等手法誘使受害者點選連結，使用該 Session ID 登入網站 受害者輸入帳號密碼成功登入網站 攻擊者使用該 Session ID，操作受害者的帳號
- 修復：建議登出之後，Cookie 或Session 就失效在重新配發新的一組 補充: 這是測試概念驗證視頻 我弄了二個影片，一個是露天和Hitcon ZeroDay ，相對ZeroDay 平台有防護 『露天拍賣： https://drive.google.com/file/d/0ByrwRfdtgouyUEhnMlpHcWVjYkU/view?usp=sharing 』、 「Hitcon ZeroDay ： https://drive.google.com/file/d/0ByrwRfdtgouyRFFCZ0FtbEt2OWs/view?usp=sharing」
- “以HTTPS連上網站進行交易十分安全” SSL它只保證 「傳輸期間」的安全，不保證「端點」安全。亦即，用戶端的個人電腦可能會被埋木馬，交易主機本身也可能漏洞百出而遭到入侵。雖然這個用句在邏輯上可以說正確，卻無法讓使用者更安心，因為大部分網站攻擊成功的成因都不在破解SSL並竊聽，而是針對用戶或網站伺服器下手。對於只仰賴SSL機制，並以此為最強力防護機制的網站，建議讀者還是謹慎為妙。
- XTML Injection http://www.giantcyclingworld.com/search.php?keyword=<center><img src="https://www.merida.tw/uploadfiles/177/88-%E9%A9%8A%E9%87%87%E6%95%B4%E5%90%88%E8%A1%8C/TW%E7%89%B9%E4%BB%95%E8%BB%8A-%E4%BF%83%E9%8A%B7%E6%A1%88/%E9%8A%B3%E5%85%8B%E5%A4%9A-400-TW.jpg"></center> <center><h1 style="color:Blue;">REACTO 400 TW(市價$39,800)</h1></center> One Redirect http://lms.ntpu.edu.tw/redirect.php?locale=en-us&backUrl=https://zeroday.hitcon.org/ Session Hijacking https://www.ruten.com.tw/ XSS http://www.ctbaa.org/site_item_content_2.php?site_map_item_id=546%22%3E%3Cscript%3Ealert(%27XSS%27)%3C/script%3E