WEB攻击与防护技术 徐 震 信息安全国家重点实验室 提纲 一、背景概述 二、典型攻击 三、攻防原理 四、防护产品体系 1.1.技术背景 n Web成为主流的网络和应用技术 q CNCERT/CC 网络安全监测系统对流量数据进行的抽样统计 显示，Web 应用流量占整个TCP 流量的81.1% q B/S居统治地位：网上银行、电子商务、电子政务、证劵、 手机上网 3 胡锦涛总书记重要指示 q “把握信息化发展的方向、维护国家在网络空间的安全和利益成 为信息时代的重大战略课题。” n 政策文件和规划中对信息安全的要求 q 《国家信息化的战略目标（2006-­2020）》指出：“建立和完善 信息安全等级保护制度，重点保护基础信息网络和关系国家安全、 经济命脉、社会稳定的重要信息系统”，我国到2020年应该达到： “国家信息安全保障水平大幅提高”。 q 《关于我国“十二五”信息化发展的基本思路》（中国工程院）中 提出“十二五”期间，“面向核心应用的信息安全技术”是6大核 心技术研发领域之一，同时要“加强信息内容的安全保障工作”。 q 《电力二次系统安全防护规定》对电力行业信息安全作出体系规划 n 等级保护与WEB应用安全的相关要求： 9 1.4. 相关政策、法规（2） 级别 安全要求 第三级 网络安全： 访问控制（对进出网络的信息进行过滤，并使对

configureMonologUsing 方法 如果你在使用 configureMonologUsing 方法为应用自定义 Monolog 实例，现在需要创建一个 custom 日志频道。更多关于如何创建自定义频道的 信息，可以查看完整的日志文档。 日志 Writer 类 本文档由 Laravel 学院提供 Laravel 学院致力于提供优质 Laravel 中文学习资源：http://laravelacademy * * @var string */ protected $headers = Request::HEADER_X_FORWARDED_ALL; 更多关于 $headers 变量值的信息可以查看完整的信任代理文档。 验证 ValidatesWhenResolved 接口 为了避免和 $request->validate() 方法冲突，ValidatesWhenResolved my.org 9 不要试图将 .env 文件提交到版本控制系统（如 Git 或 Svn）中，一方面，开发环境和线上环境配置值不一样，提交没有意义，更重要的是，.env 包 含了很多应用敏感信息，如数据库用户名及密码等，如果不慎将代码提交到 Github 公开仓库，后果将不堪设想！ 如果你是在一个团队中进行开发，则需要将 .env.example 文件随你的应用代码一起提交到源码控制中：将一些配置值以占位符的方式放置

缺陷报告」也可以通过 一个包含失败测试的 pull requests 的方式提交。 然而，如果你以文件的方式提交缺陷报告，你的问题应该包含一个标 题和对该问题的明确说明，还要包含尽可能多的相关信息以及论证该 问题的代码样板，缺陷报告的目的是为了让你自己和其他人更方便的 重现缺陷并对其进行修复。 记住，缺陷报告被创建是为了其他人遇到同样问题的时候能够和你一 起合作解决它，不要寄期望于缺陷会自动解决抑或有人跳出来修复 话你要自己手动重命名该文件。 不要试图将 .env 文件提交到版本控制系统（如 Git 或 Svn）中， 一方面，开发环境和线上环境配置值不一样，提交没有意义，更重要 的是，.env 包含了很多应用敏感信息，如数据库用户名及密码等， 如果不慎将代码提交到 Github 公开仓库，后果将不堪设想！ 如果你是在一个团队中进行开发，则需要将 .env.example 文件随你 的应用代码一起提交到源码控制中：将一些配置值以占位符的方式放 Broadcasting 目录包含了应用所需的所有广播频道类，这些类通 过 make:channel 命令生成。该目录默认不存在，但是当你通过命令 第一次创建频道类时会自动生成。想要了解更多关于频道的信息，可 以查看事件广播文档。 本文档由学院君提供 学院君致力于提供优质 Laravel 中文学习资源：https://xueyuanjun.com 49 Console 目录 Console

轲 轫 ， 你只需定义一个名为 @ Z e n d 的路径别名指向该框架的安装目录。 之后 轙 轩 轩 就可以自动加载任意 轚 轥 轮 轤 轆 轲 轡 轭 轥 轷 软 轲 轫 中的类了。 更多路径别名信息请参阅路径别名章节。 1 . 2 . 8 视 视 视图 图 图（ （ （V i e w ） ） ） 轙 轩 轩 輲 中视图最明显的改动是视图内的特殊变量 $ t h i s 不再指向当前控制器 或小部件， 譯 譬 譥 譜 譃 譯 譮 譴 譲 譯 譬 譬 譥 譲 謺 謺 譯 議 譴 譩 譯 譮 譳 謨 謩 的声明来解析。 轙 轩 轩 輲 輮 輰 支持基于代码注释自动生成相的关命令行帮助（轨 轥 转 轰 ）信息。 更多细节请参阅控制台命令章节。 1 . 2 . 1 4 国 国 国际 际 际化 化 化（ （ （I 1 8 N ） ） ） 轙 轩 轩 輲 輮 輰 移除了原来内置的日期格式器和数字格式器，为了支持 名会被转换成小写字母， 其中每个单词由一个专有的连字号分隔，例 如，C a m e l C a s e C o n t r o l l e r 将为 c a m e l - c a s e 。 有关更多详细信息，请参阅关于 轣 软 轮 轴 轲 软 转 转 轥 轲 轉 轄 轳 和 轡 轣 轴 轩 软 轮 轉 轄 轳 的部分。 1 . 2 . 2 4 同 同 同时 时 时使 使 使用 用 用 Y i i 1

中文学习资源 5 console.log(e.description); }); 为了订阅到传统频道，Laravel Echo 还使得订阅到提供谁在监听给定频道信息的已存在频道变得 简单： Echo.join('chat.' + roomId) .here((users) => { // }) ent\Model; class Post extends Model { use Searchable; } trait 被添加到模型之后，当保存模型实例的时候其信息将会被同步到搜索索引： $order = new Order; // ... 本文档由 Laravel 学院（LaravelAcademy.org）提供 Laravel 还有很多其他特性，具体请查看其文档。 可邮寄对象 注：Laracasts 上有关于该特性的免费视频教程。 Laravel 5.3 支持可邮寄对象，这些对象可以以一个简单对象的形式表示邮件信息，而不再需要在 闭包中自定义邮件信息，例如，你可以定义一个简单的邮寄对象用作欢迎邮件： class WelcomeMessage extends Mailable { use Queueable

步任 务（非队列），在使用该命令时加上 --sync 选项。 邮件 邮件配置中移除了 pretend 选项，取而代之的，使用 log 邮件驱动执行和 pretend 同样的 功能，并且将邮件信息记录到日志中。 分页 为了与框架生成的其它 URL 保持一致，分页 URL 不再包含斜杠，这一改变对应用代码 不产生任何影响。 服务提供者 Illuminate\Foundation Laravel 学院致力于提供优质 Laravel 中文学习资源 9 Session 数据库 Session 驱动 我们为框架编写了新的 database Session 驱动，该驱动包含更多的用户信息，例如用户 ID、IP 地址以及用户代理，如果你想要继续使用之前的 database 驱动，需要在配置文 件 session.php 中指定 legacy-database 驱动。 如果你想要使用新的驱动，还需要添加 不是仅仅报告缺陷，“缺陷报告”也可以通过一个包含失败测试的 pull requests 的方式提 交。 然而，如果你以文件的方式提交缺陷报告，你的问题应该包含一个标题和对该问题的明确 说明，还要包含尽可能多的相关信息以及论证该问题的代码样板，缺陷报告的目的是为了 让你自己和其他人更方便的重现缺陷并对其进行修复。 本文档由 Laravel 学院（LaravelAcademy.org）提供 Laravel

仅仅报告缺陷，“缺陷报告”也可以通过一个包含失败测试的 pull request 的方式提交。 然而，如果你以文件的方式提交缺陷报告，你的问题应该包含一个标题和对该问题的明确说 明，还要包含尽可能多的相关信息以及论证该问题的代码样板，缺陷报告的目的是为了让你 自己和其他人更方便的重现缺陷并对其进行修复。 记住，缺陷报告被创建是为了其他人遇到同样问题的时候能够和你一起合作解决它，不要寄 期望于缺陷会自 tFoundHttpException.的 实例。 本文档由 Laravel 学院（LaravelAcademy.org）提供 25 更多关于处理 404 异常的信息以及如何自定义视图显示这些错误信息，请查看错误文档一 节。 HTTP 中间件 1、简介 HTTP 中间件提供了一个便利的机制来过滤进入应用的 HTTP 请求。例如，Laravel 包含了 一个中间件来验证 */ public function update(Request $request,$id) { // } } 1.1 基本请求信息 Illuminate\Http\Request 实例提供了多个方法来检测应用的 HTTP 请求，Laravel 的 Illuminate\Http\Request 继承自 Symfony\C

nikic/fast-route //开发模式必须绑定。Debug调试信息 //如果想使用第三方的调试台只要简单封装一个服务。实现\Cml\Interfaces\Debug接口即可/当然直接 修改模板也可以。配置项 'debug_page' => CML_CORE_PATH.'/Tpl/debug.tpl', // debug调试信息模板 Cml::getContainer()-> 以线上环节如果有修改了主键名，请清空该 目录 Logs 系统在开发环境会把警告以下的错误直接显示在控制台，致命错误/异常直接显示在页面上方便 开发人员排查。如果是线上环境会将警告及以上的信息记录在此目录下的emergency.log中(底 层是调用\Cml\Log::emergency)。按日期分目录存放(如20160801的日志则存放在 Runtime/Logs/2016/08/01/emergency CML_CORE_PATH.'/Tpl/404.tpl', // 404跳转页 'debug_page' => CML_CORE_PATH.'/Tpl/debug.tpl', // debug调试信息模板 /* URL设置 */ 'url_model' => 1, // URL访问模式,可选参数1、2、3,代表以下四种模式： // 1 (PATHINFO

nikic/fast-route //开发模式必须绑定。Debug调试信息 //如果想使用第三方的调试台只要简单封装一个服务。实现 \Cml\Interfaces\Debug接口即可/当然直接修改模板也可以。配置 项 'debug_page' => CML_CORE_PATH.'/Tpl/debug.tpl', // debug调试信息模板 Cml::getContainer() 上环节如 果有修改了主键名，请清空该目录 Logs 系统在开发环境会把警告以下的错误直接显示在控制台，致命错 误/异常直接显示在页面上方便开发人员排查。如果是线上环境会 将警告及以上的信息记录在此目录下的emergency.log中(底层是调 用\Cml\Log::emergency)。按日期分目录存放(如20160801的日志则 存放在 Runtime/Logs/2016/08/01/emergency CML_CORE_PATH.'/Tpl/404.tpl', // 404跳转页 'debug_page' => CML_CORE_PATH.'/Tpl/debug.tpl', // debug调试信息模板 /* URL设置 */ 'url_model' => 1, // URL访问模式,可选参数1、 2、3,代表以下四种模式： // 1 (PATHINFO

t-route //开发模式必须绑定。Debug调试信息 //如果想使用第三方的调试台只要简单封装一个服务。实现\Cml\Interfaces\Debug接口即可/当然直接 修改模板也可以。配置项 'debug_page' => CML_CORE_PATH.'/Tpl/debug.tpl', // debug调试信息模 板 Cml::getContainer()- ，所以线上环节如果有修改了主键 名，请清空该目录 Logs 系统在开发环境会把警告以下的错误直接显示在控制台，致命错误/异常直接显示 在页面上方便开发人员排查。如果是线上环境会将警告及以上的信息记录在此目录 下的emergency.log中(底层是调用\Cml\Log::emergency)。按日期分目录存放(如 20160801的日志则存放在 Runtime/Logs/2016/08/01/emergency CML_CORE_PATH.'/Tpl/404.tpl', // 404跳转页 'debug_page' => CML_CORE_PATH.'/Tpl/debug.tpl', // debug调试信息模板 /* URL设置 */ 'url_model' => 1, // URL访问模式,可选参数1、2、3,代表以下四种模式： // 1 (PATHINFO 模式显示index