网络安全与个人隐私

最近又开始瞎忙起来了,现在正好在迁移服务器数据,网速龟慢,上次和同事讨论如何神不知鬼不觉的发帖子,一般技术宅肯定是找各种代理,然后用代理作为中转,这样真实的IP就会被隐藏,但是某些部门通过技术手段依旧可以追踪到你,因为他们可以知道你是什么时候登录的代理。好吧,问题在这里就复杂了,其实国外的项目Tor就是为匿名访问而诞生的,其主要的原理就是通过多个复杂节点分散流量达到混淆隐藏真实主机的目的,可惜的是因为某些原因Tor在国内无法正常使用。也想到通过肉鸡进行二次乃至多次代理来加大追踪难度,但是这实际上也导致自己操作变得困难,想想目前的网速,得不偿失,最后讨论的结果是:到地摊上购买一张匿名的手机卡(貌似现在都是实名的了),然后买个能上网的手机(便宜一点,最好非智能机),然后到某处蹭个WiFi,然后用手机上网发帖,完事后销毁手机和卡,这样看来确实天衣无缝,但是同事的一句话给我泼了冷水:你有没有考虑过公共场所星罗密布的监控探头?好吧,看来这条路子也是有风险的。

继续阅读

Cookie安全及Cookie跟踪技术导致个人隐私的泄漏

这篇文章是我所选修课程的作业,简单介绍了XSS、Cookie、Web安全威胁和个人隐私泄露问题,个人见解仅供参考,如有不当之处还望批评指正。

大家上网肯定对于HTTP并不陌生,完整的网址开头大多就是以http://开始的(当然不全是,加密的SSL浏览技术的网址是以https://开头的),HTTP表明的就是Hypertext Transfer Protocol超文本传输协议,大多数网页就靠它传输并呈现在我们的面前了。

现在的问题在于HTTP是建立在TCP/IP基础上的,我们知道TCP/IP协议是无状态协议(Stateless),这里的无状态就是说TCP/IP协议不保存连接的客户端的状态,更通俗一点是TCP/IP比较健忘,比如刚才客户端通过TCP/IP对服务器发送了一条消息,然后断开连接后再一次的连接服务器再发一条消息,这里同样的客户端,服务器并不知道这两条消息来自同一客户端,每次连接的建立服务器将认为是新客户端发起的请求。

继续阅读

利用IE8/9浏览器XSS跨站攻击脚本筛选过滤特性(X-XSS-Protection)

恶意跨站脚本(Cross-Site Scripting)的危害想必大家都知道,除了做好服务器端的安全过滤外,现在我们还可以利用一下IE8或者IE9的新的安全特性,那就是跨站脚本筛选器(Cross-Site Scripting Filter)。

对于IE的跨站脚本筛选器可以先参考IEBlog的《IE8 Security Part IV: The XSS Filter》这篇文章做个详细了解。如果IE检测到了跨站脚本攻击,那么IE将对页面做相应的修改以阻止攻击的发生,比如说这里有个示例页面。当我点击Say Hello的时候,IE会将表单的XSS脚本POST到服务端页面,这时IE8及以上浏览器检测到了可能的XSS攻击,于是提示“Internet Explorer 已对此页面进行了修改,以帮助阻止跨站点脚本。”

继续阅读

解决了一处XSS跨站攻击漏洞

今天在对项目进行安全单元测试时发现的,主要是PHP在处理404页面时向用户展示所请求的URL不可访问的消息那儿的问题。The Request URL…这里直接读取的$SERVER[]变量,导致不怀好意者有机会在URL中构造XSS跨站脚本,其实这里只需要过滤一下即可,但是说明“永远不要相信用户的输入”这条安全守则的重要性,所有来自客户端的数据都要经过严格过滤,并保证最小数据要求,比如某模块只需求字母字符串,不过你把数字传过去也没有问题,但是严格来说在过滤时就应该过滤掉所有非字母的字符。

XSS也是前几年接触到的新的攻击技术,在这之前也就知道个SQL注入攻击,安全一直是个老生常谈的话题,不过我们往往注重某一点时会忽视另外一点,回顾过去的项目,几乎或多或少会存在XSS跨站漏洞,最经典的就是比如访问delete.asp?id=1就会删除id=1的数据记录,攻击者可以构造<img src=”http://example.com/delete.asp?id=1″ />的代码,然后诱使你访问,比如邮件什么的,当你访问时,即使没有任何操作,记录号为1的记录已经被删除了。XSS的另一个严重的问题就是Session会话劫持,攻击者会尝试劫持合法用户的会话ID,一旦会话劫持成功,攻击者就可以以合法登录者身份为所欲为了。

继续阅读