WEB攻击与防护技术 徐 震 信息安全国家重点实验室 提纲 一、背景概述 二、典型攻击 三、攻防原理 四、防护产品体系 1.1.技术背景 n Web成为主流的网络和应用技术 q CNCERT/CC 网络安全监测系统对流量数据进行的抽样统计 显示，Web 应用流量占整个TCP 流量的81.1% q B/S居统治地位：网上银行、电子商务、电子政务、证劵、 手机上网 3 3 1.2.安全威胁 1.2.安全威胁 n SANS年发布的全球20大安全风险排行榜上，Web应 用安全漏洞名列前茅，攻击者利用最多的漏洞是SQL 注入及跨站脚本 n 根据国家计算机网络应急技术处理协调中心(简称 CNCERT/CC)上半年的工作报告显示，网站漏洞百出， 被篡改的大陆网站数量明显上升，总数达到28367个， 比去年全年增加近16% 1.3. 相关政策、法规（1） n 相关政策、法规（2） n 胡锦涛总书记重要指示 q “把握信息化发展的方向、维护国家在网络空间的安全和利益成 为信息时代的重大战略课题。” n 政策文件和规划中对信息安全的要求 q 《国家信息化的战略目标（2006-­2020）》指出：“建立和完善 信息安全等级保护制度，重点保护基础信息网络和关系国家安全、 经济命脉、社会稳定的重要信息系统”，我国到2020年应该达到： “国家信息安全保障水平大幅提高”。

Vapor 的兼容，这是一个针对 Laravel 应用的自动扩容无服务器部署平台。Vapor 对在 AWS Lambda 上 管理 Laravel 应用以及与 SQS 队列、数据库、Redis 集群、网络、 CloudFront CDN 进行交互的复杂性进行了抽象。 通过 Ignition 优化异常 本文档由学院君提供 学院君致力于提供优质 Laravel 中文学习资源：https://xueyuanjun Retry-After： php artisan down --message="Upgrading Database" --ret ry=60 即使在维护模式下，也可以通过 allow 选项指定 IP 地址或网络来访 问应用： php artisan down --allow=127.0.0.1 --allow=192.168.0. 0/16 要关闭维护模式，开启站点，对应的 Artisan 命令是 up： 。 要使用 Parallels 的话，需要安装 Parallels Vagrant 插件，这是免费 的（仅仅是插件免费哈）。 由于 Vagrant 限制的因素，Hyper-V 提供者会忽略所有网络设置。 本文档由学院君提供 学院君致力于提供优质 Laravel 中文学习资源：https://xueyuanjun.com 57 安装 Homestead Vagrant 盒子 VirtualBox/VMWare

限制的因素，Hyper-V 提供者会忽略所有网络设置。 安装 Homestead Vagrant 盒子 VirtualBox/VMWare 和 Vagrant 安装好了之后，在终端中使用如下命令将 Homestead Vagrant 盒子 laravel/homesterad 添加到 Vagrant 中。下载该盒子将会花费一些时间，具体时间长短主要取决于你的网络连接速度： vagrant box 运行命令会列出一个选择列表，选择 virtualbox 对应选项即可，然后进入漫长的下载等待，看看多喜人，还要 6 小时 40 分钟才能下载完成，基本 上一觉醒来的节奏，还是在使用了 VPN 翻墙的情况下，如果一直提示网络超时的话只能去 Vagrant 官网下载了： 本文档由 Laravel 学院提供 Laravel 学院致力于提供优质 Laravel 中文学习资源：http://laravelacademy flip 网络接口 Homestead.yaml 的 networks 属性用于配置 Homestead 的网络接口，你可以想配多少就配多少： networks: - type: "private_network" ip: "192.168.10.20" 要开启 bridged （桥接模式）接口，需要配置 bridge 设置并修改网络类型为 public_network

Vagrant 安 装 好 了 之 后 ， 在 终 端 中 使 用 如 下 命 令 将 laravel/homesterad 添加到 Vagrant 中。下载该盒子将会花费一些时间，时间长短主要取决 于你的网络连接速度： vagrant box add laravel/homestead 如果上述命令执行失败，需要确认 Vagrant 是否是最新版本。 通过 GitHub 安装 Homestead protocol: udp 4、网络接口 Homestead.yaml 的 networks 属性用于配置 Homestead 的网络接口，你可以想配多少就配多少： networks: - type: "private_network" ip: "192.168.10.20" 要开启 bridged 接口，需要配置 bridge 设置并修改网络类型为 public_network function __construct(UserRepository $users) { // Dependencies automatically resolved by service container... $this->users = $users; } /** * 绑定数据到视图. * 本文档由

\Cml\ErrorOrException:: class); //Cml::getContainer()->singleton('cml_error_or_exception', \Cml\Service\Whoops:: class);//Whoops封装服务使用前请安装Whoops. composer require filp/whoops //必须绑定。环境解析。自带的服务实现 lopment/product/cli三种。可以根据需要实现更多的环境 Cml::getContainer()->singleton('cml_environment', \Cml\Service\Environment::class ); //必须绑定。系统日志驱动 内置\Cml\Logger\File::class｜\Cml\Logger\Redis::class两种. 8 Cml::getContainer()->singleton('cml_route', \Cml\Service\Route::class); //Cml::getContainer()->singleton('cml_route', \Cml\Service\FastRoute::class); // composer require nikic/fast-route

gitignore 文件，编辑文件 内容如下： *!.gitignore 该目录应该是可写的，用来存储临时优化文件如 compiled.php，routes.php，config.php 以及 service.json 新增 BroadcastServiceProvider 在配置文件 config/app.php 中，添加 Illuminate\Broadcasting\BroadcastServiceProvider VirtualBox/VMWare 和 Vagrant 安装好了之后，在终端中使用能如下命令将 laravel/homesterad 添加到 vagrant 安装中。这将会花费一些时间下载该盒子，时间长短主 要取决于你的网络连接速度： vagrant box add laravel/homestead 如果上述命令执行失败，可以使用 vagrant 老版本的方式，这需要输入完整的 URL： vagrant box function __construct(UserRepository $users) { // Dependencies automatically resolved by service contai ner... $this->users = $users; } /** * 绑定数据到视图. * *

VirtualBox/VMWare 和 Vagrant 安装好了之后，在终端中使用能如下命令 将 laravel/homesterad 添加到 Vagrant 中。下载该盒子将会花费一些时间，时间长短主 要取决于你的网络连接速度： vagrant box add laravel/homestead 如果上述命令执行失败，可以使用 Vagrant 老版本的方式，这需要输入完整的 URL： vagrant box function __construct(UserRepository $users) { // Dependencies automatically resolved by service container... $this->users = $users; } /** * 绑定数据到视图. * 本文档由 protected $description = 'Send drip e-mails to a user'; /** * The drip e-mail service. * * @var DripEmailer */ protected $drip; /** * 创建新的命令实例

• 社区 匕 官方论坛：譨 譴 譴 議 譳 謺 謯 謯 警 譯 譲 譵 譭 謮 譹 譩 譩 警 譲 譡 譭 譥 護 譯 譲 譫 謮 譣 譯 譭 謯 匕 轉 轒 轃 聊天室：轌 轩 轢 轥 轲 轡 网络上的 輣 轹 轩 轩 频道 輨 譩 譲 譣 譳 謺 謯 謯 譩 譲 譣 謮 譬 譩 譢 譥 譲 譡 謮 譣 譨 譡 譴 謺 謶 謶 謹 謷 輩 匕 轓 转 轡 轣 轫 轣 轨 轡 轮 轥 转 ：譨 和 轃 轓 轓 文件集 合。 在这种情况下，把所有的资源包压缩到一个文件毫无意义，輐 前端輑 不 会用到輐 后端輑 的资源文件， 当请求輐 前端輑 页面时，輐 后端輑 的资源文件也会被 发送过来，浪费网络带宽。 为了解决这个问题，可以吧资源包分成若干组，每个组里面有若干个资 源包。 下面的配置展示了如何对资源包分组： r e t u r n [ . . . / / S p e c i f y o 受 受 受信 信 信任 任 任的 的 的代 代 代理 理 理和 和 和报 报 报头 头 头 在上一节中，您已经了解了如何获取主机和 轉 轐 地址等用户信息。 这将在 正常设置中开箱即用，其中使用单个网络服务器为网站提供服务。 然而， 如果您的 轙 轩 轩 应用程序在反向代理后面运行，则需要添加其他配置来检索 此信息， 因为直接客户端现在是代理， 并且用户 轉 轐 地址通过代理设置的 报头传递给 轙

Composers 5. Architecture Foundations i. Service Providers i. Introduction ii. Basic Provider Example iii. Registering Providers iv. Deferred Providers ii. Service Container i. Introduction ii. Basic Facade Class Reference v. Request Lifecycle i. Introduction ii. Lifecycle Overview iii. Focus On Service Providers vi. Application Structure i. Introduction ii. The Root Directory iii. The App Directory These service providers provide various bootstrapping functions to your application, such as error handling, logging, route loading, and more. Of course, you are free to create additional service providers

Implementation 166 Binding an Instance 166 Binding a Singleton to the Service Container 166 Introduction 167 Using the Service Container as a Dependency Injection Container 167 Chapter 57: Socialite Create a new Eloquent model class make:policy Create a new policy class make:provider Create a new service provider class make:request Create a new form request class make:seeder Create a new seeder class will be available in all views under the name $shareddata. View::share is typically called in a service provider, or perhaps in the constructor of a controller, so the data will be shared in views returned