WEB安全新玩法 [2] 防范前端验证绕过
用户登录，几乎是所有 Web 应用所必须的环节。Web 应用通常会加入一些验证手段，以防止攻击者使用机器人自动登录，如要求用户输入图形验证码、拖动滑动条等。但是，如果验证的逻辑仅仅在前端执行，是很容易被攻击者绕过的。iFlow 业务安全加固平台可以为只使用前端验证的应用打上动态虚拟补丁，使之成为 ...
原文：WEB安全新玩法 [5] 防范水平越权之查看他人订单信息
水平越权是指系统中的用户在未经授权的情况下，查看到另一个同级别用户所拥有的资源。水平越权会导致信息泄露，其产生原因是软件业务设计或编码上的缺陷。iFlow 业务安全加固平台可以缓解部分场景下的水平越权问题。 以某电商网站为例，其查看订单功能存在漏洞：仅依靠修改 URL 参数，任意登录用户不仅可以查看自己的订单信息，也可以查看到其他用户的订单信息。我们看看在网站自身存在缺陷的情况下，如何利用 iFl ...
2021-06-29 14:00 0 146 推荐指数：
相关推荐
WEB安全新玩法 [8] 阻止订单重复提交
交易订单的重复提交虽然通常不会直接影响现金流和商品流，但依然会给网站运营方带来损害，如消耗系统资源、影响正常用户订单生成、制造恶意用户发起纠纷的机会等。倘若订单对象是虚拟商品，也有可能造成实际损失。订单重复提交的检查工作本应该由网站自身实现，而 iFlow 业务安全加固平台则可以为未实现这项功能 ...
【Web安全】越权操作——横向越权与纵向越权
参考：http://blog.csdn.net/github_39104978/article/details/78265433 看了上面的文章，对越权操作的概念还是比较模糊，不明确实际场景。 横向越权的情况： 用户登录模块中，假设用户在忘记密码（未登录）时，想要重置密码。假设接口设计为传参 ...
安全测试之 水平越权访问 与 垂直越权访问 漏洞
前言 ①越权访问（Broken Access Control，简称BAC）是Web应用程序中一种常见的漏洞，由于其存在范围广、危害大，被OWASP列为Web应用十大安全隐患的第二名。 ②该漏洞是指应用在检查授权时存在纰漏，使得攻击者在获得低权限用户账户后，利用一些方式绕过权限检查，访问或者操作 ...
web安全防范策略
点* 防范措施 存储型 XSS 后端数据库 HTM ...
WEB安全漏洞与防范
1.XSS 原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码，当用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。如，盗取用户Cookie信息、破坏页面结构、重定向到其它网站等。 理论上，只要存在能提供输入的表单并且没做安全过滤或过滤不彻底，都有可能存在XSS ...
Web安全之防范点击劫持
点击劫持（clickjacking）又称为界面伪装攻击 (UI redress attack)是一种在网页中将恶意代码等隐藏在看似无害的内容（如按钮）之下或者将透明的iframe覆盖在一个正常的网页上 ...
水平越权与垂直越权
越权漏洞 越权访问（Broken Access Control，简称BAC）是Web应用程序中一种常见的漏洞，由于其存在范围广、危害大，被OWASP列为Web应用十大安全隐患的第二名。 该漏洞是指应用在检查授权时存在纰漏，使得攻击者在获得低权限用户账户后，利用一些方式绕过权限检查，访问 ...