python - 网络安全 : Worst-Case Situation

Question

我目前已经构建了一个系统来检查用户 IP、浏览器和随机字符串 cookie 以确定他是否是管理员。

在最坏的情况下，有人会窃取我的 cookie，使用与我相同的浏览器，并掩盖他的 IP 以显示为我的 IP。我是否应该在我的脚本中添加另一层安全性以使其更安全？

编辑:澄清一下:我的网站绝对不接受用户的输入。我只是在设计一个后端管理面板，以便更轻松地更新数据库条目。

Answer 1

检查浏览器完全是浪费代码。编写一个 trivial 的安全系统是没有意义的供攻击者绕过。如果攻击者通过 xss 或嗅探线路获得 session ID，那么他们也将拥有您的“用户代理”。

检查 ip 地址将迫使攻击者“骑”在带有 XSS+XHR 或 XSRF 的 session 上。这是因为被劫持的 token 不会在他的盒子上工作。不幸的是，这也会导致在多个 IP 地址之间使用传出负载平衡的企业网络出现问题。

HTTPS 必须用于整个 session 。您的 token 绝不能通过 HTTP 发送。这在 The OWASP Top 10 for 2010 的“失效的身份验证和 session 管理”中有清楚的说明。 ，如果您正在编写 session 处理程序，则绝对必须阅读。

session ID 必须始终超时。如果没有超时，则这称为不朽 session ，这是公认的漏洞。

此外，我更担心您的 token 的随机性。确保您学习如何正确生成 cryptographic nonce .确保您的随机数生成器功能强大，并且植入了攻击者无法获知的信息。

我还怀疑您没有考虑到 XSS 和 XSRF。如果您不检查主要漏洞，那么您在其他领域的 session 有多强大都没有关系。确保使用 a free xss scanner 扫描您的应用程序或开源 wapiti。请记住，没有任何测试可以准确地检测到 XSRF，并且您的应用程序中的每个请求都容易受到攻击，除非您专门对其进行修补。