<尚大教育,教育至上,人才为大:sdedu.cc>
不安全的直接对象引用
·用户或者会话的间接对象引用。这样能防止攻击者直接攻击未授权资源。例如,一个下拉列表包含6 个授权给当前用户的资源,它可以使用数字1~6 来指示哪个是用户选择的值,而不是使用资源的数据库关键字来表示。在服务器端,应用程序需要将每个用户的间接引用映射到实际的数据库关键字。OWASP 的ESAPI 包含了两种序列和随机访问引用映射,开发人员可以用来消除直接对象引用。
·检查访问。任何来自不可信源的直接对象引用都必须通过访问控制检测,确保该用户对请求的对象有访问权限。
·避免在URL 或页面中直接引用内部数据库关键字或者是文件名。
·锁定网站服务器上的所有目录和文件夹,设置访问权限。
<尚大教育,教育至上,人才为大:sdedu.cc>