识别和理解攻击的社区资源
高的
民意调查:攻击者调查目标应用程序,可能是有效且经过身份验证的用户
识别功能:在每个步骤中,攻击者都会注意执行特定动作时调用的资源或功能访问机制
迭代访问功能:可能是作为有效用户,攻击者试图直接访问每种著名的访问机制,以执行不受ACL约束的功能。
在J2EE设置中,管理员可以将身份验证者不可能授予“ NoAccess”之类的用户,并将其与所有访问权限的所有Servlet授予诸如“ NoAccess”之类的用户。
这样做之后,Web容器将禁止对那些受保护的servlet的任何直接访问。
在更一般的环境中,管理员必须标记每个资源,除了应该向用户暴露的资源以外,用户无法承担的角色可以访问。默认的安全设置必须是拒绝访问权限,然后仅授予访问业务逻辑预期的资源。
使用“单个前控制器”模式在Java EE的Servlet范式中实现模型视图控制器(MVC),该模式要求在交换其他动作servlet之前对Brokokered HTTP请求进行认证。
如果在那些动作servlet上没有安全构成,因此没有人可以访问它们,则可以颠覆前控制器。
使用公共攻击模式枚举和分类(CAPEC)以及本网站的相关参考使用条款。Capec由美国国土安全部(DHS)网络安全和基础设施安全局(CISA),由国土安全系统工程和开发研究所(HSSEDI)由manbetx客户端首页(MITER)。版权所有©2007–2023,Miter Comanbetx客户端首页rporation。CAPEC和CAPEC徽标是Miter Corporation的商标。manbetx客户端首页