網(wǎng)絡(luò)安全防護(hù)很久以前就講過(guò)一些專(zhuān)業(yè)知識(shí)，下面再講一遍網(wǎng)絡(luò)安全防護(hù)中的登陸密碼傳輸，比較敏感的實(shí)際操作二次驗(yàn)證，手機(jī)客戶(hù)端強(qiáng)認(rèn)證，驗(yàn)證的錯(cuò)誤信息，避免暴力破解密碼，系統(tǒng)日志和監(jiān)控等。

**，登陸密碼傳送。

登錄頁(yè)和所有后臺(tái)必須驗(yàn)證，頁(yè)面必須使用SSL、TSL或其他安全傳輸技術(shù)進(jìn)行瀏覽，原始登錄頁(yè)必須應(yīng)用SSL、TSL進(jìn)行瀏覽，否則網(wǎng)絡(luò)攻擊會(huì)改變登錄頁(yè)的action特性，導(dǎo)致用戶(hù)登錄憑據(jù)泄露，假如登陸后沒(méi)有應(yīng)用SSL、TSL進(jìn)行二次數(shù)據(jù)加密，網(wǎng)絡(luò)攻擊會(huì)盜取對(duì)未數(shù)據(jù)加密的應(yīng)用程序ID，進(jìn)而嚴(yán)重危害用戶(hù)當(dāng)前的主題活動(dòng)應(yīng)用程序，因此，也應(yīng)盡量對(duì)登陸密碼進(jìn)行二次數(shù)據(jù)加密，然后進(jìn)行傳送。

第二，對(duì)比較敏感的實(shí)際操作進(jìn)行第二驗(yàn)證。

從而減輕CSRF、應(yīng)用程序被劫持等系統(tǒng)漏洞的危害，在更新賬戶(hù)比較敏感的信息內(nèi)容(如客戶(hù)登錄密碼、電子郵件、買(mǎi)賣(mài)詳細(xì)地址等)之前必須進(jìn)行賬戶(hù)認(rèn)證，如果沒(méi)有這類(lèi)對(duì)策，網(wǎng)絡(luò)攻擊不必了解客戶(hù)的憑據(jù)，就可以根據(jù)CSRF、XSS攻擊進(jìn)行比較敏感的實(shí)際操作，如果沒(méi)有這類(lèi)對(duì)策，網(wǎng)絡(luò)攻擊就不會(huì)了解客戶(hù)的電腦資料。

手機(jī)客戶(hù)端的強(qiáng)力認(rèn)證。

應(yīng)用第二要素運(yùn)行程序以檢查客戶(hù)是否具有較敏感的實(shí)際操作能力，典型實(shí)例有SSL、TSL手機(jī)客戶(hù)端身份認(rèn)證，別稱(chēng)SSL、TSL雙重校檢，校檢由手機(jī)客戶(hù)端和服務(wù)器端組成，在SSL、TSL揮手整個(gè)過(guò)程中分別推送各自的資格證書(shū)，正如應(yīng)用服務(wù)器端的資格證書(shū)要授予組織(CA)校檢網(wǎng)絡(luò)服務(wù)器真正有效一樣，網(wǎng)絡(luò)服務(wù)器能夠應(yīng)用第三方CS或自己的CA校檢客戶(hù)端證書(shū)真正有效，因此，服務(wù)器端一定要為客戶(hù)出示為它轉(zhuǎn)換的資格證書(shū)，并將資格證書(shū)分派給相應(yīng)的值，以方便用戶(hù)以此值確定與資格證書(shū)匹配的客戶(hù)。

第四，驗(yàn)證錯(cuò)誤。

如果未正確保存驗(yàn)證失敗后的錯(cuò)誤，則可將其用于枚舉類(lèi)型客戶(hù)ID使用登陸密碼，程序運(yùn)行應(yīng)采用通用方式進(jìn)行相對(duì)操作，無(wú)論登錄名或密碼錯(cuò)誤，都不能對(duì)當(dāng)前客戶(hù)的情況進(jìn)行表名。錯(cuò)誤的相對(duì)實(shí)例：登錄失敗，登錄密碼無(wú)效；登錄失敗，登錄客戶(hù)無(wú)效；登錄失敗，登錄名不正確；登錄失敗，密碼錯(cuò)誤；適當(dāng)?shù)南鄬?duì)實(shí)例：登錄失敗，登錄名或登錄密碼無(wú)效。有些程序運(yùn)行時(shí)返回的錯(cuò)誤雖然是相同的，但返回的狀態(tài)碼卻不同，這種情況也會(huì)暴露出賬戶(hù)的基本信息。

避免用暴力破解密碼。

對(duì)Web程序運(yùn)行實(shí)施暴力破解密碼是一件很容易的事，假如程序運(yùn)行不容易因?yàn)槎啻悟?yàn)證失敗而導(dǎo)致帳號(hào)被禁止使用，那么網(wǎng)絡(luò)攻擊將有機(jī)會(huì)不斷猜想登錄密碼，進(jìn)行不斷暴力破解密碼，直到帳戶(hù)被攻占。多種處理方法有多重因素驗(yàn)證、SMS驗(yàn)證碼、個(gè)人行為檢查(阿里云服務(wù)器、極驗(yàn)等服務(wù)項(xiàng)目都提供)。

六、系統(tǒng)日志和監(jiān)控。

可以方便地檢查驗(yàn)證信息內(nèi)容的記錄和監(jiān)控是否能方便地檢查進(jìn)攻性和常見(jiàn)故障。

記錄所有登錄失敗的實(shí)際操作過(guò)程；

記錄所有密碼錯(cuò)誤的實(shí)際操作過(guò)程；

3、記錄所有帳號(hào)鎖定的登陸；以上這些都是防止網(wǎng)站被攻擊的方法，如果確實(shí)無(wú)法修復(fù)存在漏洞的話(huà)可以咨詢(xún)專(zhuān)業(yè)網(wǎng)站安全公司進(jìn)行處理，建議可以找我們盛世傳媒專(zhuān)業(yè)的安全公司來(lái)處理。