Web应用安全威胁与防护措施，【一篇文章搞懂】

4. XML外部实体

XML外部实体注入(通常被称为XML External Entity，XXE)可以让攻击者通过Web应用的漏洞，干扰应用对于XML数据的处理。此类攻击往往会导致诸如拒绝服务、数据泄露、服务器端请求伪造等问题。

我们可以通过实施服务器端的输入验证，修补和升级所有XML处理器，以及使用SAST工具来分析源代码等方法，来有效地防止XML外部实体注入。

5.受损的访问控制

从概念上说，访问控制机制就是要确定用户是否可以执行，与之身份和权限相符的操作。而当用户可以在其预期权限之外执行某项操作时，那么就出现了访问控制的破坏。

受损的访问控制通常会导致：未经授权的信息泄露、数据被直接修改或破坏、以及业务功能偏离预期用途等情况。我们可以通过在受信任的服务器端代码中、或无服务器的API中，强制使用完备的访问控制机制，来防止攻击者修改元数据(metadata)，或绕过正常的访问控制检查。

鉴于Web应用在当下激烈竞争与快速发展的商业环境中尤为重要，我们可以通过如下七种针对Web应用的安全性防护措施与实践，来协助企业保护系统与数据。

1.定义并采用合适的网络安全框架

网络安全框架包括一系列文档和指南，它定义了企业在管理网络安全风险，以及减少漏洞的过程中，需要遵循的各种优秀实践。这里主要强调的是“合适才是最好的”。我们需要对企业所处的行业，当前开展的业务进行调研。在此基础上，通过利用专业知识和业界现有的安全标准，为本企业准备详细的计划与适合的安全策略。

2.跟踪您的资产并进行威胁评估

如今，大多数企业都会通过在线运维的方式，对诸如：Web应用、网站、Web服务、API、以及基于云的软件即服务(SaaS)等IT资产，进行管理。因此在此类IT环境中，他们需要与内、外部的各种系统持续进行通信。同时，许多功能性的接口都会被暴露出来。

对此，企业需要实施关键性网络安全计划便是资产发现。该环节可帮助运维人员找到各种Web资产，以便他们按需保护目标组件，并制定出相应的安全策略。可以说，一旦创建了所有重要Web资产的列表，他们即可开始执行威胁评估，以识别出针对当前应用的潜在威胁，进而制定出有效的缓解计划。

3.遵守安全编码标准

据软件工程研究所的统计，大约有90%的软件安全问题，都是由软件设计或代码中的缺陷引起的。诚然，开发人员的主要工作是让应用程序能够正常运行，但是如果忽略了安全编码，则会无形中留下各种安全漏洞和被攻击的后门。

可见，我们需要实施安全的编码标准，以确保软件和应用得到保护，并免受安全漏洞的影响。在实际项目中，我们可以在软件开发生命周期(SDLC)的早期阶段引入安全性，并通过遵循OWASP的安全编码规范、以及SEI CERT编码标准，这两种时下流行的安全编码标准，以避免在后期测试和部署阶段，花费时间和精力去填补各种安全漏洞。

4.部署企业级安全解决方案

最常见的企业级智能安全解决方案当属Web应用防火墙(WAF)。它可以通过监控和过滤各种恶意HTTP流量，协助保护Web应用免受诸如SQL注入、跨站点脚本等攻击的侵害。也就是说，我们通过在Web应用程序和互联网之间放置一道WAF屏障，可以仅允许合法用户的访问，并阻断各种恶意的请求。

当然，我们也可以考虑使用诸如Burpsuite pro和Acunetix之类专业的Web安全扫描器，以实现对Web应用的快速扫描，并识别出潜在的漏洞。

5.尽可能自动化

在日常运维中，我们往往需要执行Web应用扫描、签名与行为分析、以及DDoS缓解等重复性的任务。为了节省大量的时间和精力，安全人员应当与自动化技术人员合作，在确保各项任务得以自动化实施的前提下，增强Web应用的安全性。

6.加密数据

过去，Web应用往往使用明文的HTTP协议进行通信。这会导致攻击者能够以中间人(MIM)的方式，扮演通信中的某一方，窃取具体内容。如今，使用基于传输层安全协议(TLS)的HTTP加密方式，已经成为了许多企业应用的必选项。同时，它也成为了大多数浏览器的默认配置项。

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）

给大家的福利

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料

网络安全面试题

绿盟护网行动

还有大家最喜欢的黑客技术

网络安全源码合集+工具包

所有资料共282G，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
[外链图片转存中…(img-4vIdA3aO-1712559927435)]