- 浏览: 101099 次
- 性别:
- 来自: 死亡坟墓
文章分类
规则3.4.4:对于运行应用程序的操作系统帐号,不应使用“root”、“administrator”、“supervisor”等特权帐号或高级别权限帐号,应该尽可能地使用低级别权限的操作系统帐号。
规则3.4.5:对于应用程序连接数据库服务器的数据库帐号,在满足业务需求的前提下,必须使用最低级别权限的数据库帐号。
说明:根据业务系统要求,创建相应的数据库帐号,并授予必需的数据库权限。不能使用“sa”、“sysman”等管理帐号或高级别权限帐号。
2.5 敏感数据保护
2.5.1 敏感数据定义
敏感数据包括但不限于:口令、密钥、证书、会话标识、License、隐私数据(如短消息的内容)、授权凭据、个人数据(如姓名、住址、电话等)等,在程序文件、配置文件、日志文件、备份文件及数据库中都有可能包含敏感数据。
2.5.2 敏感数据存储
规则3.5.2.3:禁止在 cookie 中以明文形式存储敏感数据。
说明:cookie信息容易被窃取,尽量不要在cookie中存储敏感数据;如果条件限制必须使用cookie存储敏感信息时,必须先对敏感信息加密再存储到cookie。
规则3.5.2.4:禁止在隐藏域中存放明文形式的敏感数据。
规则3.5.2.5:禁止用自己开发的加密算法,必须使用公开、安全的标准加密算法。
实施指导:
场景 1:后台服务端保存数据库的登录口令
// 算法:AES256。常见问题是加密的环境和解密的环境JDK不一致,导致解密失败,请参考FAQ部分的案例说明。比如在windows下加密(SUN JDK),在AIX机器上运行解密(IBM JDK),就会有问题,算法实现还是有差异的。
发表评论
-
xslt模板2
2011-09-28 10:34 0<!-- 再处理$nodes2--> ... -
xslt模板1
2011-09-28 10:34 0<?xml version="1.0" ... -
xml合并
2011-09-28 10:29 952利用xslt模板进行合并 /* * 合并xml文件 ... -
oracle备份脚本4
2011-09-22 20:12 0# 备份控制文件 backupControl() { ... -
oracle备份脚本3
2011-09-22 20:11 0# 改变备份文件权限,保证可以读写 c ... -
oracle备份脚本2
2011-09-22 20:11 0cd $BACKUPDIR BACKUPDIR= ... -
oracle备份脚本
2011-09-22 20:10 0#! /bin/bash # 本脚本实现数据的0级备份,即全 ... -
Java获取mac地址
2011-09-06 09:46 777public static Map getLocalM ... -
web安全10
2011-08-26 18:28 7563.6 其他 规则4.7.4:使用.innerHt ... -
web安全9
2011-08-26 18:28 8593.4 代码注释 3.5 归档要求 规 ... -
web安全8
2011-08-26 18:27 656规则3.6.4:对日志模块占用资源必须有相应的限制机制。 说 ... -
web安全7
2011-08-26 18:26 836规则3.5.3.2:在客户端和服务器间传递敏感数据时,必须使用 ... -
web安全6
2011-08-26 18:25 749场景 2:后台服务端保存用户的登录口令 // SHA512, ... -
web安全4
2011-08-26 18:20 685二、对于系统的操作员和管理员或CP/SP的URL请求进行鉴权相 ... -
web安全3
2011-08-26 18:20 7042.2.2 认证 规则3.2.2.10:对于重要的交易事务 ... -
java 用ant进行zip解压
2011-08-24 11:12 1274利用ant进行zip解压,非常简单 import org.a ... -
shll bat2
2011-08-23 17:30 636# etc 启动 ETC_PATH=/etc/init.d ... -
shell bat
2011-08-23 17:29 849#!/bin/sh SCRIPT="$0" ... -
数据库转储
2011-08-20 10:29 1335项目中有些数据库表的 ... -
Java操作命令行
2011-08-19 14:10 734Java可以操作命令行,嘿嘿,这也就意味着可以通过命令行调用其 ...
相关推荐
《白帽子讲Web安全》内容简介:在互联网时代,数据安全与个人隐私受到了前所未有的挑战,各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据?《白帽子讲Web安全》将带你走进Web安全的世界,让你了解Web安全...
《白帽子讲Web安全》内容简介:在互联网时代,数据安全与个人隐私受到了前所未有的挑战,各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据?《白帽子讲Web安全》将带你走进Web安全的世界,让你了解Web安全...
《白帽子讲Web安全》内容简介:在互联网时代,数据安全与个人隐私受到了前所未有的挑战,各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据?《白帽子讲Web安全》将带你走进Web安全的世界,让你了解Web安全...
《Web安全深度剖析》总结了当前流行的高危漏洞的形成原因、攻击手段及解决方案,并通过大量的示例代码复现漏洞原型,制作模拟环境,更好地帮助读者深入了解Web 应用程序中存在的漏洞,防患于未然。 《Web安全深度...
Web安全漏洞加固手册 V2.0
《Web安全深度剖析》总结了当前流行的高危漏洞的形成原因、攻击手段及解决方案,并通过大量的示例代码复现漏洞原型,制作模拟环境,更好地帮助读者深入了解Web 应用程序中存在的漏洞,防患于未然。 《Web安全深度...
在Internet大众化及Web技术飞速演变的今天,Web安全所面临的挑战日益严峻。黑客攻击技术越来越成熟和大众化,针对Web的攻击和破坏不断增长,Web安全风险达到了前所未有的高度。 许多程序员不知道如何开发安全的应用...
《Web安全测试》中的秘诀演示了开发和测试人员在进行单元测试、回归测试或探索性测试的同时,如何去检查最常见的Web安全问题。与即兴的安全评估不同的是,这些秘诀是可重复的、简洁的、系统的——可以完美地集成到你...
《Web安全深度剖析》总结了当前流行的高危漏洞的形成原因、攻击手段及解决方案,并通过大量的示例代码复现漏洞原型,制作模拟环境,更好地帮助读者深入了解Web 应用程序中存在的漏洞,防患于未然。 《Web安全深度...
Web 安全 实践 完整版 脚本,绝对的好材料
web安全
《白帽子讲Web安全》内容简介:在互联网时代,数据安全与个人隐私受到了前所未有的挑战,各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据?《白帽子讲Web安全》将带你走进Web安全的世界,让你了解Web安全...
WEB安全测试点报告,辅助做好系统安全测试。
WEB安全性测试测试用例(基础)
《Web安全深度剖析》总结了当前流行的高危漏洞的形成原因、攻击手段及解决方案,并通过大量的示例代码复现漏洞原型,制作模拟环境,更好地帮助读者深入了解Web 应用程序中存在的漏洞,防患于未然。 《Web安全深度...
内容: 1. Web安全基础概念 2. Web面临的主要安全问题 3. Web安全常见的漏洞 4. Web安全如何防御