模块串讲（一）| Web安全：如何评估用户数据和资产数据面临的威胁？
该思维导图由 AI 生成，仅供参考
用户数据的威胁评估
荧光笔
直线
曲线- 深入了解
- 翻译
- 解释
- 总结
本文通过回顾Web安全模块的知识，重点讨论了用户数据和资产数据面临的威胁评估。针对用户数据的威胁评估，文章提到了黑客可能利用的安全漏洞，包括XSS、SQL注入和CSRF等，并介绍了管理机制和技术手段提升用户的安全意识。针对资产数据的威胁评估，文章介绍了黑客可能利用的漏洞类型，如SSRF、反序列化漏洞和插件漏洞，以及黑客留下的“后门”形式。通过具体案例和技术原理，系统地复习了Web安全知识，帮助读者更好地理解和应用相关内容。在进行完威胁评估后，文章提出了针对漏洞的防护手段，包括检测和过滤、加强认证和补丁管理。此外，还介绍了在授权和审计阶段加入检测的方式，如最小权限原则、WAF和IDS。通过这些防护手段，读者可以避免大部分的Web安全问题。整体而言，本文以系统性的方式梳理了Web安全模块的核心知识，为读者提供了全面的学习和复习指南。
《安全攻防技能 30 讲》，新⼈⾸单¥59
全部留言(8)
- 最新
- 精选
- hello老师：您好！请教您两个问题？烦请解惑？ 问题1：内网服务器能访问互联网而且没有采用白名单的限制会存在什么样的漏洞？如果通过白名单限制，那服务器需要访问外网拉个镜像呀，某些软件升个级呀，这种情况下有什么好的可借鉴的处理方案没？ 问题2：对存储数据（如：MySQL的数据）的加密有什么好的借鉴方案没？如部分字段数据加密？部分表数据加密？或是全库数据加密？同时给存储数据加密时，密钥该如何存储？我目前处理方案只支持指定的部分字段数据加密存储，同时数据加解密的密钥是密文存储在数据库中随应用服务启动解密放至在内存中给数据加解密用，但总觉得这种数据存储方式不灵活，而且密码明文长期放至内存中也不安全？老师是否有什么好的可借鉴的处理方案？谢谢！
作者回复: 1、没限制的话，黑客控制服务器之后，可以轻易地将数据发出去，也可以从外网下载一些木马或者病毒来实现权限提升和持久化。。。有的公司会做成权限形式，服务器想访问某个外网地址，需要走提案申请。 2、需要明确目的是什么。一般说数据库加密，其实是硬盘加密，即防止硬盘丢失后导致数据泄露。如果只是字段加密，比如手机号等，防止开发看到这些数据，则可以做一个统一的加密服务中心，来对加解密做统一的管理。
2020-01-081 
胖胖虎老师，我想问一下，为什么通过访问mysql的3306端口能知道内网的网络结构？作者回复: 前提是，黑客基于SSRF，能够控制一台内网服务器，发送任意HTTP请求。而黑客的下一步可能是摸清楚内网都有哪些服务器，服务器上分别有哪些服务。那么，他就可以向任意内网地址的3306端口发起HTTP请求，如果端口是开放的话，HTTP请求会返回错误信息或者left intact。如果端口关闭，就会直接Connection refused。根据这个差异，就可以判断3306是否开启。
2020-01-28
Y网络劫持，dns劫持这些会在后续章节讲么？作者回复: 在网络安全中会涉及一部分。
2020-01-07
小老鼠案例太少，知识不能落地2020-01-0813
怀揣梦想的学渣思维导图做的很清晰2023-06-14归属地：山东
zdaiot请问作者，这种体系化的记忆，需要完全凭空回忆并梳理出来么？还是说，看着之前的内容，能梳理一遍即可2023-03-27归属地：北京
escray
安全落地的第一步是进行威胁评估，识别数据、识别攻击和识别漏洞 盗取用户身份的安全漏洞，主要有用户自身的密码保管不当和 Web 应用的漏洞（XSS、SQL 注入和CSRF）。 黑客利用 Web 安全漏洞（SSRF、反序列化漏洞和插件漏洞）和服务器“后门”，控制内网服务器的方式发动攻击 针对认证和授权的防护，主要是检测和过滤、加强认证（一次性 Token 和二次认证）、补丁管理。 在授权和审计阶段加入检测，识别异常的身份认证，最小权限原则、WAF Web Application Firewall 网站应用级入侵防御系统、IDS Intrusion Detection System 入侵检测系统。2023-03-09归属地：北京
COOK渗透性测试感觉是不完整的，还需要像老师讲的这样全面的评估2020-03-29
