网站安全
每当我看到虚拟主机网站广告或数据中心促销活动时，我都会听到很多有关安全/漏洞的信息。
我想知道它们是什么。他们只是营销噱头吗？是物理安全还是一些可能窃取代码/二进制文件的恶意软件（:)）
例如，我想托管一个网站，其中服务器是用 C 编写的自定义 http Web 服务器。假设它有准备充分的 SQL 查询处理 SQL 注入和一个不错的 http req 解析器。我现在需要注意哪些安全注意事项？
I hear a lot about security/vulnerability whenever I see a webhosting site advertisements or a datacenter promotions.
I would like to know what are they. Are they just marketing gimmick, is it physical security or some malwares that may steal code/binaries(:))
For e.g. I want to host a website where server is a custom http web server written in C. Assume it has well prepared SQL queries to handle SQL injection and a nice http req parser. What security considerations now do I need to take care of?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
除了 SQL 注入之外，您还必须担心 XSS（跨站点脚本）和为文件夹设置的正确权限。还要确保没有缓冲区溢出攻击的空间。这些是一些很好的基础知识。
OWASP 还提供了一份包含更多详细信息的前 10 名的详细列表：
<一href="http://www.google.com/url?sa=t&source=web&cd=6&ved=0CFIQFjAF&url=https%3A%2F%2Fwww.owasp.org%2Fimages%2F0%2F0f % 2FOWASP_T10_-_2010_rc1.pdf&rct=j&q=owasp&ei=ZyLKTYKsF4aCsQOO04mdAw&usg=AFQjCNGYRuamJ3pnCqKrnjvKLyXwHv-eiA&cad=rja" rel="nofollow">http://www.google.com/url?sa=t&source=web&cd=6&ved=0CFIQFjAF&url=https%3A%2F%2Fwww.owasp.org%2Fimages% 2F0%2F 0f%2FOWASP_T10_-_2010_rc1.pdf&rct=j&q=owasp&ei=ZyLKTYKsF4aCsQOO04mdAw&usg=AFQjCNGYRuamJ3pnCqKrnjvKLyXwHv-eiA&cad=rja
综上所述，前10名分别是：
注射剂、
跨站脚本攻击，
破坏的身份验证和会话管理，
不安全的直接对象引用，
跨站请求伪造，
安全配置错误，
未能限制 URL 访问，
未经验证的重定向和转发，
不安全的加密存储，
传输层保护不足。
Adding to SQL injections, you'd also have to worry about XSS (cross-site scripting) and the right permissions set for your folders. Also make sure there's no room for buffer overflow attacks. These are some good basics.
OWASP also has a good list of top 10 with more details:
http://www.google.com/url?sa=t&source=web&cd=6&ved=0CFIQFjAF&url=https%3A%2F%2Fwww.owasp.org%2Fimages%2F0%2F0f%2FOWASP_T10_-_2010_rc1.pdf&rct=j&q=owasp&ei=ZyLKTYKsF4aCsQOO04mdAw&usg=AFQjCNGYRuamJ3pnCqKrnjvKLyXwHv-eiA&cad=rja
To sum up, the top 10 are:
Injection ,
XSS ,
Broken Authentication and Session Management ,
Insecure Direct Object Reference ,
Cross Site Request Forgery ,
Security Misconfiguration ,
Failure to Restrict URL access,
Unvalidated Redirects and Forwards,
Insecure Cryptographic Storage ,
Insufficient Transport Layer Protection.