分类号密级
UDC 编号
中国科学院研究生院
博士学位论文
漏洞威胁评估及协议软件漏洞挖掘
刘奇旭
指导教师张玉清教授博士
中国科学院研究生院信息科学与工程学院申请学位级别博士学科专业名称信息安全论文提交日期2011年4月论文答辩日期2011年5月培养单位信息科学与工程学院
学位授予单位中国科学院研究生院
答辩委员会主席
中国科学院研究生院直属院系
研究生学位论文原创性声明
本人郑重声明：所呈交的学位论文是本人在导师的指导下独立进行研究工作所取得的成果。尽我所知，除文中已经注明引用的内容外，本论文不包含任何其他个人或集体已经发表或撰写过的研究成果。对论文所涉及的研究工作做出贡献的其他个人和集体，均已在文中以明确方式标明或致谢。
作者签名：
日期：
中国科学院研究生院直属院系
学位论文授权使用声明
本人完全了解并同意遵守中国科学院有关保存和使用学位论文的规定，即中国科学院有权保留送交学位论文的副本，允许该论文被查阅，可以公布该论文的全部或部分内容，可以采用影印、缩印或其他复制手段保存、汇编本学位论文。
涉密的学位论文在解密后适用本声明。
作者签名：导师签名：
日期：日期：
摘要
漏洞的大量出现和加速增长是目前网络安全问题趋于严峻的重要原因之一。漏洞不仅仅是网络攻防的焦点，更是网络战的武器装备。漏洞作为一种战略资源被各方积极关注。论文主要工作围绕“漏洞”展开，主要研究内容包括漏洞描述、漏洞威胁评估和漏洞挖掘，取得如下成果：
（1）论文完成两个国家标准的制定——《漏洞标识与描述规范(报批稿)》和《安全漏洞等级划分指南(草案)》。《漏洞标识与描述规范》提出CVD(Common Vulnerabilities Description)作为漏洞唯一标识（例如CVD-2011-001234表示2011年产生的第1234个漏洞），用于满足我国互联网对信息系统漏洞进行统一引用的需求。《安全漏洞等级划分指南》根据攻击范围、攻击复杂度和攻击影响三
个方面的要素，将漏洞划分为紧急、高、中和低等四个级别，从而实现我国对
漏洞严重程度评估的标准化。
（2）论文提出定性与定量相结合的漏洞威胁评估系统——Vulnerability Rating and Scoring System(VRSS)。基于对现有漏洞评估要素的评判及大量漏洞数据的分析，论文将定性评级与定量评分两种方法有机结合：首先针对漏洞的主
要属性（机密性、完整性和可用性）的影响进行定性评级，分析出漏洞威胁级
别（高、中、低），其次再根据漏洞在利用过程中的因素进行定量评分，进而
得出漏洞对系统的威胁分值（0.00-10.00）。论文使用1999-2010年44,824个CVE漏洞作为实验数据，结果表明VRSS定性评级漏洞分布情况与历史传统分级结果一致并符合历史分布规律，定量评分结果能够进一步的细分漏洞，在解决
了定性与定量方法纷争的同时，也修正了CVSS的不合理因素。
（3）论文在VRSS的基础上提出基于漏洞类别的定性与定量漏洞威胁评估系统——Category-Based VRSS。基于漏洞类别的VRSS系统框架，在定性评级的基础上，在定量评分的过程中引入漏洞类别因子VCF(Vulnerability Category Factor)这一概念。例如，根据VRSS定性评级的结果，超过50%的缓冲区溢出漏洞具有“高危”级别，因此将该漏洞类别定义为高危类别，在定量评分过程中
通过VCF增加其定量评分分值。论文使用2008-2010年发布的16,025个CVE漏
洞作为实验数据，结果表明基于漏洞类别的VRSS增加了漏洞定量评分结果的多样性，一定程度上将漏洞进一步区分。
（4）论文研究基于Fuzzing技术的协议软件漏洞挖掘方法：首先对目标程序进行威胁建模，找到其最有可能出现漏洞的脆弱点，然后有针对性地编写Fuzzing工具对这些脆弱点逐一进行测试。论文将这一漏洞挖掘方法应用于TFTP 协议上，设计并实现了一个针对TFTP服务器的Fuzzing工具——tftpServerFuzzer，并对现有的从互联网上搜集到的Windows平台下11种TFTP服务器进行了安全测试，发现了未曾公布过的漏洞4个，其中的3个漏洞获得CVE编号：CVE-2006-6141、CVE-2006-6183、CVE-2006-6184，实践证明了论文方法的有效性及Fuzzing工具的高效性。
关键词：漏洞，漏洞描述，漏洞标准，漏洞评估，漏洞挖掘
II
Abstract
Vulnerabilities are extremely important for network security and have become major international threat to network security. Vulnerabilities are not only the focus of the network attack and defense, but also the weapons of cyberwar. As strategic resources, vulnerabilities are concerned by all the parties. In this paper, we focus on vulnerability description, vulnerability threat assessment and vulnerability finding, and make the following contributions:
(1) This paper finishes two national standards of China:“Vulnerability identification and description specification(draft for approval)” and “Classification of security vulnerabilities Guide(draft)”. “Vulnerability identification and description specification”proposes CVD (Common Vulnerabilities Description) as a unique identifier to describe the vulnerability. For example, CVD-2011-001234 represents the 1234th vulnerability in 2011."Classification of security vulnerabilities Guide" aims to develop national standards for vulnerability assessment to achieve a standardized severity assessment. According to access vector, access complexity and access impact, vulnerabilities are divided into four levels: Critical, High, Medium and Low.
(2) This paper proposes VRSS (Vulnerability Rating and Scoring System) for qualitative rating and quantitative scoring vulnerabilities. Based on the statistic work on vulnerabilities of three famous vulnerability databases, VRSS combines respective advantages of all kinds of vulnerability rating systems. First, confidentiality, integrity, and availability properties are used to evaluate the risk levels of vulnerabilities; second, a quantitative score are concluded based the risk levels. The range of quantitative score is from 0 to 10, with two decimals. An experimental study of 44,824 vulnerabilities demonstrates that the qualitative rating results of VRSS are consistent with the historical results and the quantitative scoring revises some unreasonable factors of well-known CVSS.
(3)This paper proposes category-based vulnerability rating and scoring system, so as to qualitatively rate and quantitatively score vulnerabilities. The paper uses
vulnerability categories to quantitatively score vulnerabilities, which make the distribution of vulnerabilities more discrete.For example, according to the results of VRSS qualitative rating, more than 50% of the buffer overflow vulnerabilities have the "high" risk level, so the type of buffer overflow is defined as high-risk category, then the quantitative score of this category can be increased by the vulnerability category factor(VCF). An experiment of 16,025 vulnerabilities demonstrates that category-based vulnerability rating and scoring system can separate vulnerabilities from each other as far as possible.
(4) This paper proposes a vulnerability finding approach based on fuzzing and apply the approach to TFTP protocol. The paper analyzed all the vulnerabilities that had been released about TFTP protocol, and summed up the vulnerable points in TFTP servers. Aiming at those vulnerable points, a fuzzing tool named tftpServerFuzzer was specifically designed and implemented to test TFTP servers. . Testing 11 types of TFTP servers based on Windows by tftpServerFuzzer, this paper discovered four unreleased vulnerabilities and three of them won the CVE identifiers: CVE-2006-6141, CVE-2006-6183 and CVE-2006-6184. The result indicates not only the validity and superiority of the tftpServerFuzzer we designed, but also the efficiency of our approach.
Keywords：vulnerability, vulnerability description, vulnerability standards, vulnerability assessment, vulnerability finding
IV
目录
摘要............................................................................................................................................. I ABSTRACT.................................................................................................................................. I II 目录............................................................................................................................................ V 图目录......................................................................................................................................... V III 表目录........................................................................................................................................... X I 第一章引言 . (1)
1.1 研究背景 (1)
1.2 研究现状 (2)
1.2.1 漏洞威胁评估 (2)
1.2.2 漏洞挖掘技术 (4)
1.2.2.1 基于源代码的静态分析 (5)
1.2.2.2 基于二进制的静态审核 (7)
1.2.2.3 基于Fuzzing的动态分析 (8)
1.2.2.4 多种漏洞挖掘技术相结合 (10)
1.3 课题支持 (10)
1.4 本文主要工作 (11)
1.5 论文组织结构 (12)
1.6 本章小结 (13)
第二章漏洞描述与相关规范 (14)
2.1 漏洞定义 (14)
2.2 漏洞发布 (15)
2.3 漏洞生命周期 (16)
2.4 漏洞预测 (18)
2.5 漏洞解决方案 (19)
2.5.1 SDL (19)
2.5.2 SAMM (20)
2.5.3 CLASP (21)
2.5.4 Touchpoints (21)
2.6 漏洞相关规范 (22)
2.6.1 枚举Enumerations (22)
2.6.2 语言Languages (23)
2.6.3 知识库Repositories (24)
2.7 本章小结 (24)
第三章现有漏洞威胁评估方法分析 (25)
3.1 概述 (25)
3.2 定性评级 (25)
3.2.1 IBM ISS X-Force (25)
3.2.2 VUPEN (27)
3.2.3 小结 (29)
3.3 定量评分 (29)
3.3.1 CVSS (29)
3.3.2 CWSS (33)
3.3.3 小结 (35)
3.4 问题与改进 (35)
3.5 本章小结 (37)
第四章定性与定量相结合的漏洞评估 (38)
4.1 VRSS概述 (38)
4.2 VRSS漏洞评估过程 (39)
4.2.1 定性评级 (39)
4.2.2 定量评分 (41)
4.2.3 应用举例 (43)
4.3 VRSS效果测评 (45)
4.3.1 定性评级 (45)
4.3.2 定量评分 (46)
4.3.3 小结 (47)
4.4 VRSS环境因素 (48)
4.5 安全漏洞等级划分指南 (49)
4.5.1 等级划分原则 (49)
4.5.2 等级划分要素 (50)
4.5.2.1 等级划分要素概述 (50)
4.5.2.2 攻击范围 (50)
4.5.2.3 攻击复杂度 (50)
4.5.2.4 攻击影响 (50)
4.5.3 等级划分方法 (51)
4.6 本章小结 (53)
第五章基于漏洞类别的定性与定量漏洞评估 (54)
5.1 VRSS扩展必要性 (54)
5.2 Category-based VRSS评级过程 (55)
5.2.1 漏洞类别因子 (55)
5.2.2 应用举例 (57)
5.3 Category-based VRSS效果测评 (59)
5.3.1 定性评级 (59)
5.3.2 定量评分 (59)
5.3.3 小结 (60)
5.4 本章小结 (61)
第六章协议软件漏洞挖掘技术研究 (62)
6.1 网络协议基础 (62)
6.1.1 面向连接、无连接 (63)
6.1.2 有状态、无状态 (63)
VI
目录
6.1.3 文本、二进制 (64)
6.1.4 公开、私有 (65)
6.1.5 复杂的协议元素 (66)
6.1.6 协议自动化分析 (67)
6.2 Fuzzing漏洞挖掘技术 (67)
6.3 协议软件漏洞挖掘方法 (69)
6.4 漏洞挖掘方法验证 (70)
6.4.1 选择TFTP网络协议 (70)
6.4.2 TFTP协议脆弱点分析 (72)
6.4.2.1 文件名 (72)
6.4.2.2 传输模式 (72)
6.4.2.3 目录遍历 (72)
6.4.2.4 已知漏洞分类 (73)
6.4.3 构造TFTP Fuzzing工具 (74)
6.4.3.1 总体设计 (74)
6.4.3.2 详细设计与实现 (74)
6.4.3.3 参数介绍 (76)
6.4.3.4 运行举例 (77)
6.4.4 TFTP漏洞挖掘结果分析 (78)
6.4.5 TFTP漏洞利用 (79)
6.4.5.1 CVE-2006-6183 (79)
6.4.5.2 CVE-2006-6184 (83)
6.5 问题与讨论 (87)
6.5.1 优点 (87)
6.5.2 缺点 (87)
6.6 本章小结 (87)
第七章结束语 (88)
7.1 论文工作总结 (88)
7.2 后续工作展望 (88)
参考文献 (90)
攻读博士学位期间的研究成果 (96)
致谢 (98)
VII
图目录
图1. 1 美国国家漏洞库NVD漏洞数目柱状图(1999-2010年) (2)
图1. 2 漏洞相关研究工作 (2)
图1. 3 本文工作内容及主要成果图 (11)
图1. 4 论文组织结构图 (12)
图2. 1 漏洞发布描述项 (15)
图2. 2 漏洞生命周期图 (17)
图2. 3 漏洞生命周期与网络攻击事件 (17)
图2. 4 AML漏洞发布模型 (18)
图2. 5 软件安全开发流程 (20)
图2. 6 软件保证成熟度模型 (20)
图2. 7 软件安全接触点 (22)
图3. 1 定性评级与定量评分 (25)
图3. 2 X-Force定性评级级别分布图(1999-2009年漏洞) (26)
图3. 3 X-Force定性评级级别分布图(1999-2009年漏洞，按照年份) (27)
图3. 4 X-Force定性评级级别比例图(1999-2009年漏洞，按照年份) (27)
图3. 5 VUPEN定性评级级别分布图(2005-2009年漏洞) (28)
图3. 6 VUPEN定性评级级别分布图(2005-2009年漏洞，按照年份) (28)
图3. 7 VUPEN定性评级级别比例图(2005-2009年漏洞，按照年份) (29)
图3. 8 CVSS系统框架图 (30)
图3. 9 CVSS计算方法图 (30)
图3. 10 美国国家漏洞库中的CVSS (32)
图3. 11CVSS基本群分值分布图(1999-2010年漏洞) (32)
图3. 12 CVSS基本群分值直方图(1999-2010年漏洞) (33)
图3. 13CWSS系统框架图 (33)
图3. 14 NVD漏洞定性评级漏洞分布柱状图(1999-2010年漏洞) (36)
图3. 15 NVD漏洞定性评级漏洞分布比例图(1999-2010年漏洞) (36)
图3. 16 定性评级与定量评分相结合 (36)
图4. 1 VRSS工作流程示意图 (38)
图目录图4. 2 VRSS定性评级与定量评分效果图 (39)
图4. 3 VRSS定性评级具体实施流程图 (43)
图4. 4VRSS定量评分部分具体实施流程图 (44)
图4. 5VRSS定性评级级别柱状分布图(1999-2010年漏洞) (45)
图4. 6VRSS定性评级级别所占比例图(1999-2010年漏洞) (46)
图4. 7VRSS定性评级级别分布图(1999-2010年漏洞，按照年份) (46)
图4. 8VRSS定量评分分数分布图(1999-2010年漏洞) (47)
图4. 9VRSS定量评分分数直方图(1999-2010年漏洞) (47)
图4. 10 漏洞等级划分要素 (50)
图5. 1基于漏洞类别的VRSS系统框架图 (55)
图5. 2漏洞类别及威胁级别比例分布图 (55)
图5. 3基于漏洞类别的VRSS定量评分部分具体实施流程图 (58)
图5. 4基于漏洞分类的VRSS定性评级级别柱状图(2008-2010年漏洞) (59)
图5. 5 基于漏洞分类的VRSS定性评级级别比例图(2008-2010年漏洞) (59)
图5. 6基于漏洞分类的VRSS定量评分分数分布图(2008-2010年漏洞) (60)
图5. 7 基于漏洞分类的VRSS定量评分分数直方图(2008-2010年漏洞) (60)
图6. 1 TCP/IP协议栈模型 (62)
图6. 2文本HTTP协议 (65)
图6. 3二进制OICQ协议 (65)
图6. 4 Fuzzing的通用测试过程 (68)
图6. 5 基于Fuzzing的协议软件漏洞挖掘流程 (69)
图6. 6 TFTP协议支持五种类型的包 (71)
图6. 7 正常的TFTP客户端与服务器建立连接的过程 (71)
图6. 8 1999-2010年TFTP相关漏洞数目 (73)
图6. 9 1999-2010年TFTP漏洞比例图 (73)
图6. 10 tftpServerFuzzer程序结构图 (74)
图6. 11 长文件名和畸形传输模式测试程序流程图 (74)
图6. 12 目录遍历漏洞测试程序流程图 (75)
图6. 13 部分可能导致目录遍历的特殊符号 (76)
图6. 14 tftpServerFuzzer参数 (77)
IX
漏洞威胁评估及协议软件漏洞挖掘
X 图6. 15 3Com TFTP Service控件图 (79)
图6. 16 3CTftpSv.00402F30漏洞函数图 (80)
图6. 17 3CTftpSv返回地址被覆盖 (81)
图6. 18 传输模式构造结果示意图 (81)
图6. 19 CVE-2006-6183漏洞触发内存布局示意图 (82)
图6. 20 CVE-2006-6183漏洞利用成功 (83)
图6. 21 AT-TFTP Server主窗口 (83)
图6. 22 AT-TFTP Server存在漏洞函数wvsprintfA (84)
图6. 23 AT-TFTP Server覆盖返回地址 (84)
图6. 24 文件名构造结果示意图 (85)
图6. 25 CVE-2006-6184漏洞触发内存布局示意图 (86)
图6. 26 CVE-2006-6184漏洞利用成功 (86)
表目录
表1. 1 现有漏洞威胁评估方法 (3)
表1. 2 微软漏洞严重程度等级划分表 (3)
表1. 3 现有漏洞挖掘技术比较表 (5)
表1. 4 基于源代码的静态分析工具比较 (7)
表3. 1 1999-2009年IBM ISS X-Force漏洞数目表 (26)
表3. 2 2005-2009年VUPEN漏洞数目表 (28)
表3. 3 CVSS各要素及其取值范围 (31)
表3. 4 1999-2010年NVD漏洞数目表 (32)
表3. 5 CWSS与CVSS评估要素对比表 (34)
表3. 6 NVD漏洞级别与CVSS映射表 (35)
表4. 1 漏洞定性评级级别映射表 (40)
表4. 2 机密性影响取值方法 (41)
表4. 3 完整性影响取值方法 (41)
表4. 4 可用性影响取值方法 (41)
表4. 5 漏洞攻击利用属性取值表 (42)
表4. 6 攻击范围取值方法 (42)
表4. 7 攻击复杂度取值方法 (42)
表4. 8 攻击认证次数取值方法 (42)
表4. 9 攻击影响与C/I/A的关系 (51)
表4. 10 漏洞的严重程度等级 (52)
表4. 11 漏洞威胁等级划分依据 (52)
表5. 1 CVSS和VRSS案例比较 (54)
表5. 2 NVD漏洞分类统计表 (56)
表5. 3 基于漏洞类别的VRSS案例 (58)
表5. 4 三种定量评分取值多样性比较 (61)
表6. 1 TFTP服务器软件列表 (78)
表6. 2 本文发现漏洞统计数目表 (79)
编号：GR-WR-23238 采购人员保密协议模板 After negotiation and consultation, both parties jointly recognize and abide by their responsibilities and obligations, and elaborate the agreed commitment results within the specified time. 甲方：____________________ 乙方：____________________ 签订时间：____________________ 本文档下载后可任意修改
采购人员保密协议模板 备注:本协议书适用于约定双方经过谈判、协商而共同承认、共同遵守的责任与义务，同时阐述确定的时间内达成约定的承诺结果。文档可直接下载或修改，使用时请详细阅读内容。 甲方： 乙方： 甲、乙双方根据《中华人民共和国劳动法》、《中华人民共和国反不正当竞争法》、《中华人民共和国合同法》、《xXX 有限公司劳动合同》以及国家、地方政府有关规定，鉴于乙方在甲方任职，并将获得甲方支付的相应报酬，双方当事人就乙方在任职期间及离职以后保守甲方商业秘密有关事项，在遵循平等自愿、协商一致、诚实信用的原则下，达成如下协议： 第一条：乙方工作地点：，该地点是甲方直接管理单位。 第二条：乙方必须遵守甲方的各项管理规定、岗位职责、行业规定和职业操守，保守公司的商业秘密。 第三条：乙方必须维护甲方的品牌形象，不允许做有损甲方品牌形象的行为。 第四条：乙方在甲方工作期间，乙方要求解除劳动合同
( 协议范本 ) 甲方： 乙方： 日期：年月日 精品合同 / Word文档 / 文字可改 采购人员保密协议(示范协议) The agreement concluded by the parties after reaching a consensus through equal consultation stipulates the mutual obligations and the rights they should enjoy.
采购人员保密协议(示范协议) 甲方： 乙方： 甲、乙双方根据《中华人民共和国劳动法》、《中华人民共和国反不正当竞争法》、《中华人民共和国合同法》、《xXX有限公司劳动合同》以及国家、地方政府有关规定，鉴于乙方在甲方任职，并将获得甲方支付的相应报酬，双方当事人就乙方在任职期间及离职以后保守甲方商业秘密有关事项，在遵循平等自愿、协商一致、诚实信用的原则下，达成如下协议： 第一条：乙方工作地点：，该地点是甲方直接管理单位。 第二条：乙方必须遵守甲方的各项管理规定、岗位职责、行业规定和职业操守，保守公司的商业秘密。 第三条：乙方必须维护甲方的品牌形象，不允许做有损甲方品牌形象的行为。
第四条：乙方在甲方工作期间，乙方要求解除劳动合同之后，乙方第一个月与最后一个月工资将在离职半年后，甲方将自动打至乙方账号。 第五条：乙方解除劳动合同半年内，不得从事同行业的岗位工作，否则扣除2个月工资，并追究其民事责任的权利。 第六条：保密内容：以下为甲、乙双方约定的保密内容： 1.甲方的交易秘密，包括商品产、供、销渠道，客户名单，买卖意向，成交或商谈的价格，商品性能、质量、数量、交货日期; 2.甲方的经营秘密，包括经营方针，投资决策意向，产品服务定价，市场分析; 3.甲方的管理秘密，包括财务资料、人事资料、工资薪酬资料、物流资料、客户资料; 4.甲方的技术秘密，包括所有产品设计、产品图纸、生产模具、工程设计图、制造技术、计算机程序、技术数据、专业技术、科研成果。 5.甲方的产品秘密，包括公司各种产品。
跨站脚本攻击实例解析 作者：泉哥 主页： 前言 跨站攻击，即Cross Site Script Execution(通常简写为XSS，因为CSS与层叠样式表同名，故改为XSS) 是指攻击者利用网站程序对用户输入过滤不足，输入可以显示在页面上对其他用户造成影响的HTML 代码，从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。很多人对于XSS的利用大多停留在弹框框的程度，一些厂商对XSS也是不以为然，都认为安全级别很低，甚至忽略不计。本文旨在讲述关于跨站攻击的利用方式，并结合实例进行分析。 漏洞测试 关于对XSS的漏洞测试，这里就以博客大巴为例进行测试，最近我也在上面发现了多处跨站漏洞，其中两处已公布在WooYun网站上，其主要内容如下： 漏洞详情 简要描述： 博客大巴存储型XSS漏洞 详细说明： 在“个人信息设置”的“附加信息”一项中，由于对“个人简介”的内容过滤不严，导致可在博客首页实现跨站，而在下方“添加一段附加信息”中，由于对“信息标题”内容过滤不严，同样可导致跨站的出现。 但我刚又测试了一下，发现官方只修补了其中一个漏洞（个人简介），而另一个漏洞得在博客管理后台才能触发，利用价值不大。与此同时我在对博客模板的测试中，又发现了五处跨站漏洞，估计这些漏洞其实很早就有人发现了，只是没人公布或者报给blogbus后仍未修补。这次报给WooYun的主要目的是让blogbus修补此漏洞，因为我的博客就在上面！^_^ 其余五处漏洞分别在“编辑自定义模板”中，由于对代码模块head,index,index-post,detail,detail-post等处的代码过滤不严，导致跨站的发生，分别向其写入，为便于区别，我将提示语句更改为对应的名称，前三项在首页可触发脚本，后两项需打开文章才可触发，测试结果如图1、2所示： 图1（在首页触发）
Restrict the performance of the responsibilities of both parties to the agreement, the termination of cooperation, and clear regulations on related businesses. （协议范本） 甲方：___________________ 乙方：___________________ 日期：___________________ 采购人员保密协议(协议模板)
采购人员保密协议(协议模板)说明：本协议书适用于协议双方同意签署协议后，约束协议双方的履行责任，合作终止以及相关业务明确规定，如果需要，可以直接下载打印或用于电子存档。 甲方： 乙方： 甲、乙双方根据《中华人民共和国劳动法》、《中华人民共和国反不正当竞争法》、《中华人民共和国合同法》、《xXX有限公司劳动合同》以及国家、地方政府有关规定，鉴于乙方在甲方任职，并将获得甲方支付的相应报酬，双方当事人就乙方在任职期间及离职以后保守甲方商业秘密有关事项，在遵循平等自愿、协商一致、诚实信用的原则下，达成如下协议： 第一条：乙方工作地点：，该地点是甲方直接管理单位。 第二条：乙方必须遵守甲方的各项管理规定、岗位职责、行业规定和职业操守，保守公司的商业秘密。 第三条：乙方必须维护甲方的品牌形象，不允许做有损甲方品牌形象的行为。 第四条：乙方在甲方工作期间，乙方要求解除劳动合同之后，乙
方第一个月与最后一个月工资将在离职半年后，甲方将自动打至乙方账号。 第五条：乙方解除劳动合同半年内，不得从事同行业的岗位工作，否则扣除2个月工资，并追究其民事责任的权利。 第六条：保密内容：以下为甲、乙双方约定的保密内容： 1.甲方的交易秘密，包括商品产、供、销渠道，客户名单，买卖意向，成交或商谈的价格，商品性能、质量、数量、交货日期; 2.甲方的经营秘密，包括经营方针，投资决策意向，产品服务定价，市场分析; 3.甲方的管理秘密，包括财务资料、人事资料、工资薪酬资料、物流资料、客户资料; 4.甲方的技术秘密，包括所有产品设计、产品图纸、生产模具、工程设计图、制造技术、计算机程序、技术数据、专业技术、科研成果。 5.甲方的产品秘密，包括公司各种产品。 6.其他应当保密的内容。 第七条：乙方在甲方工作期间，执行采购工作岗位的保密要求： 1.遵守公司采购制度和岗位职业道德;
员工保密协议书 甲方(企业)：--------------------- _______________________ 乙方(员工)：--------------------- _______________________ 乙方第一受益人：--------------------- ______________________ 部门：_______________________ 身份证号：_______________________ 签订时间：_________年____月____日 员工保密协议书 由于乙方在公司关键部门工作，因工作需要，接触到甲方的商业和管理上秘密，为明确乙方在任职期间和离职后一段合理期限内有关的保密事项，双方就下列条款达成一致：第一条商业秘密的内容 本协议提及的商业秘密包括技术秘密和经营秘密，其中技术秘密包括但不限于工作进度、技术方案、配方、工艺流程、技术指标、数据库、研究开发记录、技术报告、检测报告、实验数据、试验结果、图纸、样品、技术文档、相关的函电等;
经营秘密包括但不限于客户名单、行销计划、采购资料、定价政策、财务资料、进货渠道、法律事务信息、人力资源信息等等。 第二条职务成果 双方确认，乙方在任职期间，因履行职务或者主要是利用甲方的物质技术条件、业务信息等产生的发明创造、作品、非专利技术成果等，其知识产权归甲方所有;甲方有权使用或转让上述知识产权。乙方应当积极提供一切必要的信息资料、研究材料和采取一切必要的行动，协助甲方取得和行使有关的知识产权。乙方对上述知识产权享有作为发明人、创作人或设计人的署名权(依照法律规定应由甲方署名的除外);并且，乙方有权获得相应的物质奖励和报酬。 甲方给乙方的相应的物质奖励和报酬有如下规定： 1)…… 2)…… 第三条保密规章和制度 乙方在任职期间必须遵守甲方的保密规章、制度，履行与其工作岗位相应的保密职责。 遇到甲方保密规章、制度中未规定或者规定不明确的方面时，乙方应本着谨慎、负责的态度，采取必要、合理的措施，
采购人员保密协议示范文 本 In Order To Protect Their Legitimate Rights And Interests, The Cooperative Parties Reach A Consensus Through Consultation And Sign Into Documents, So As To Solve And Prevent Disputes And Achieve The Effect Of Common Interests 某某管理中心 XX年XX月
采购人员保密协议示范文本 使用指引：此协议资料应用在协作多方为保障各自的合法权益，经过共同商量最终得出一致意见，特意签订成为文书材料，从而达到解决和预防纠纷实现共同利益的效果，文档经过下载可进行自定义修改，请根据实际需求进行调整与使用。 甲方： 乙方： 甲、乙双方根据《中华人民共和国劳动法》、《中华 人民共和国反不正当竞争法》、《中华人民共和国合同 法》、《xXX有限公司劳动合同》以及国家、地方政府有 关规定，鉴于乙方在甲方任职，并将获得甲方支付的相应 报酬，双方当事人就乙方在任职期间及离职以后保守甲方 商业秘密有关事项，在遵循平等自愿、协商一致、诚实信 用的原则下，达成如下协议： 第一条：乙方工作地点：，该地点是甲方直接管理单 位。 第二条：乙方必须遵守甲方的各项管理规定、岗位职
责、行业规定和职业操守，保守公司的商业秘密。 第三条：乙方必须维护甲方的品牌形象，不允许做有损甲方品牌形象的行为。 第四条：乙方在甲方工作期间，乙方要求解除劳动合同之后，乙方第一个月与最后一个月工资将在离职半年后，甲方将自动打至乙方账号。 第五条：乙方解除劳动合同半年内，不得从事同行业的岗位工作，否则扣除2个月工资，并追究其民事责任的权利。 第六条：保密内容：以下为甲、乙双方约定的保密内容： 1.甲方的交易秘密，包括商品产、供、销渠道，客户名单，买卖意向，成交或商谈的价格，商品性能、质量、数量、交货日期; 2.甲方的经营秘密，包括经营方针，投资决策意向，产
国内外黑客组织或者个人为牟取利益窃取和篡改网络信息，已成为不争的事实，在不断给单位和个人造成经济损失的同时，我们也应该注意到这些威胁大多是基于Web网站发起的攻击，在给我们造成不可挽回的损失前，我们有必要给大家介绍几种常见的网站漏洞，以及这些漏洞的防范方法，目的是帮助广大网站管理者理清安全防范思绪，找到当前的防范重点，最大程度地避免或减少威胁带来的损失。 1、SQL语句漏洞 也就是SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。 有效防范手段：对于SQL注入问题的一般处理方法是账户最小权限原则。以下几种方法推荐使用： 对用户输入信息进行必要检查 对一些特殊字符进行转换或者过滤 使用强数据类型 限制用户输入的长度 需要注意：这些检查要放在server运行，client提交的任何东西都是不可信的。使用存储过程，如果一定要使用SQL语句，那么请用标准的方式组建SQL 语句。比如可以利用parameters对象，避免用字符串直接拼SQL命令。当SQL 运行出错时，不要把数据库返回的错误信息全部显示给用户，错误信息经常会透露一些数据库设计的细节。 2、网站挂马 挂马就是在别人电脑里面(或是网站服务器)里植入木马程序，以盗取一些信息或者控制被挂马的电脑做一些不法的勾当(如攻击网站，传播病毒，删除资料等)。网页挂马就是在网页的源代码中加入一些代码，利用漏洞实现自动下载木马到机器里。网站挂马的形式可分为框架挂马、数据库挂马、后台挂马、服务器挂马以及其他形式的挂马方式。 有效防范手段：要防止网站被挂马，可以采取禁止写入和目录禁止执行的功能，这两项功能相组合，就可以有效地防止 ASP木马。此外，网站管理员通过FTP上传某些数据，维护网页时，尽量不安装asp的上传程序。这对于常被ASP 木马影响的网站来说，会有一些帮助。当然是用专业的查杀木马工具也是不错的防护措施。
保密协议 甲方：XXXX有限公司 乙方： 签订日期：年月日
甲方：XXXX有限公司 法定代表人： 联系电话： 乙方： 身份证件号码： 户籍地址： 通讯地址： 联系电话： 甲、乙双方根据《中华人民共和国不正当竞争法》、《中华人民共和国劳动法》以及国家、地方政府有关规定，双方在遵循平等自愿、协商一致、诚实信用的原则下，就甲方商业秘密保密事项达成如下协议： 第一条：保密的内容 1、技术信息： 包括但不限于产品设计、产品图纸、生产模具、作业蓝图、工程设计图、生产制造工艺、制造技术、计算机程序、技术数据、专利技术、科研成果等； 2、经营信息： 包括但不限于公司股份构成和投资情况、公司近远期发展战略、经营方针、重要决议、投资方案、投资决策意向、市场分析、产销策略、与公司经济利益关系重大的研究开发项目和计划、经营管理策略； 3、交易信息： 包括但不限于客户名称、客户地址及联系方式、需求信息、定价政策、采购价格、销售价格、进货渠道、客户调查报告、客户成交及商谈的价格； 3、管理信息： 包括但不限于财务资料、人事资料、工资薪酬资料等。 第二条：保密的范围 1、乙方在劳动合同期前甲方已有的商业秘密； 2、乙方在劳动合同期内甲方所拥有的商业秘密；
3、乙方在劳动合同期前所持有的科研成果和技术秘密，经双方协议乙方同意 被甲方应用和生产的； 4、乙方在劳动合同期内职务发明、工作成果、科研成果和专利技术； 第三条：双方的权利和义务 1、甲方为乙方的职务发明、科研成果提供良好的工作、应用和生产条件，并根据创造的经济效益给予奖励； 2、乙方必须按甲方的要求从事经营、生产项目和科研项目设计与开发，并将生产、经营、设计与开发的成果、资料交于甲方，甲方拥有所有权和处置权； 3、未经甲方书面同意，乙方不得利用甲方的商业秘密进行新产品的设计与开发和撰写论文向第三者公布； 4、双方解除或终止劳动合同后（无论因何原因），乙方不得向第三方公开甲方所拥有的未被公众知悉的商业秘密； 5、双方解除或终止劳动合同后（无论因何原因），在解除或终止日后二十四个月内，乙方不得在生产同类产品、经营同类业务或有其他竞争关系的用人单位任职，也不得自己生产与原单位有竞争关系的同类产品或经营同类业务； 6、在劳动合同期限内及终止日后的二十四个月内，员工不得建议，或直接或间接地以任何方式试图说服或促使公司或其关联方、股东、客户及商业伙伴的雇员接受其他个人或单位的雇佣，或离开公司或其关联方、股东、客户及商业伙伴； 7、乙方必须严格遵守甲方的保密制度，防止泄露甲方的商业机密； 8、甲方安排乙方任职的涉密岗位，并给予乙方保密津贴。 第四条：保密期限 1、劳动合同期内； 2、甲方的专利技术未被公众知悉期内。 第五条：违约责任 1、在合同期限内及终止日后的二十四个月内，若乙方违反本协议规定，甲方可要求其赔偿，赔偿金额相当于因乙方行为造成甲方的直接经济损失；同时乙方应向甲方支付违约金，违约金为月平均工资的三倍。若违约责任发生在劳动合同期内，甲方可单方解除与乙方的劳动关系并不予提前通知，更无任何经济补偿金； 2、本协议与国家有关强制性规定存在直接冲突的，按国家法律规定处理。 第六条：免责条款 由于地震、水灾、火灾或政策变化等人力不能预见、不能避免、不能抗拒的
SQL注入及XSS(跨站脚本)攻击防御技术方案 SQL注入 、、什么是SQL注入 SQL注入：利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，这是SQL注入的标准释义。 SQL注入利用的是正常的HTTP服务端口，表面上看来和正常的web访问没有区别，隐蔽性极强，不易被发现。 、、SQL注入的危害 SQL注入的主要危害包括： 1、未经授权状况下操作数据中的数据 2、恶意篡改网页内容 3、私自添加系统账号或是数据库使用者账号 4、网页挂木马。 、、SQL注入的方法 1.没有正确过滤转义字符 在用户的输入没有为转义字符过滤时，就会发生这种形式的注入式攻击，它会被传递 给一个SQL语句。这样就会导致应用程序的终端用户对数据库上的语句实施操纵比方 说，下面的这行代码就会演示这种漏洞： statement := "SELECT * FROM users WHERE name = '" + userName + "'; "
这种代码的设计目的是将一个特定的用户从其用户表中取出，但是，如果用户名被一个恶意的用户用一种特定的方式伪造，这个语句所执行的操作可能就不仅仅是代码的作者所期望的那样了。例如，将用户名变量(即username)设置为：a' or 't'='t，此时原始语句发生了变化： SELECT * FROM users WHERE name = 'a' OR 't'='t'; 如果这种代码被用于一个认证过程，那么这个例子就能够强迫选择一个合法的用户名，因为赋值't'='t永远是正确的。 在一些SQL服务器上，如在SQL Server中，任何一个SQL命令都可以通过这种方法被注入，包括执行多个语句。下面语句中的username的值将会导致删除“users”表，又可以从“data”表中选择所有的数据(实际上就是透露了每一个用户的信息)。 a'; DROP TABLE users; SELECT * FROM data WHERE name LIKE '% 这就将最终的SQL语句变成下面这个样子： SELECT * FROM users WHERE name = 'a'; DROP TABLE users; SELECT * FROM DATA WHERE name LIKE '%'; 其它的SQL执行不会将执行同样查询中的多个命令作为一项安全措施。这会防止攻击者注入完全独立的查询，不过却不会阻止攻击者修改查询。 2.Incorrect type handling 如果一个用户提供的字段并非一个强类型，或者没有实施类型强制，就会发生这种形式的攻击。当在一个SQL语句中使用一个数字字段时，如果程序员没有检
鉴于协议双方已经或即将形成原材料/设备/服务的采购供应关系，为了进行长期的密切合作，保证双方的合法利益，（下称“供应商”）和xxx技术有限公司（下称“xxx公司”）达成如下协议： 1、任何一方不得向第三方透露在合作期间获得和知晓的对方公司（包括其分支机构、控股公司和合资公司）的商业秘密及属于第三方但对方负有保密义务的信息。商业秘密包括技术秘密和经营秘密，其中技术秘密包括但不限于工作进度、技术方案、工程设计、电路设计、制造方法、配方、工艺流程、技术指标、计算机软件、数据库、研究开发记录、技术报告、测试报告、检测报告、实验数据、试验结果、图纸、样品、样机、模型、模具、操作手册、技术文档、相关的函电等。经营秘密包括但不限于双方洽谈的情况、签署的任何文件，包括合同、协议、备忘录、订单等文件中所包含的一切信息、客户名单、行销计划、采购资料、定价政策、财务资料、进货渠道、法律事务信息、人力资源信息等。 2、未经对方书面同意，任何一方不得在双方合作目的之外使用或向第三方透露对方的任何商业秘密，不管这些商业秘密是口头的或是书面的，还是以磁盘、胶片或电子件等形式存在的。 3、当一方提出收回包含对方商业秘密的有关资料时，另一方应将有关资料及其复制件交还给对方，或应对方的要求将这些资料及其复制件销毁。 4、在对方公司内活动时，应听从接待人员的安排和引导。未经对方允许不得进入对方实验室、办公室等工作环境，不与对方开发人员进行私下交流。 5、如果供应商的雇员因双方合作关系而需要在xxx公司办公的，则供应商应当保证其前述雇员遵守本保密协议的规定以及xxx公司的各项规章制度，服从xxx公司的管理，同时，对于前述供应商雇员在xxx公司的一切行为，供应商承担连带责任。 6、如果供应商违反上述条款，xxx公司有权根据违反的程度以及造成的损害采取以下措施： （1）重新评估供应商的地位； （2）终止双方的合作； （3）要求赔偿损失。 在采取上述措施之前，xxx公司将给予供应商合理的在先通知。 7、本协议下双方的保密义务在一方向另一方透露了商业秘密后的5年内保持有效，并且在此期间其效力不受合作关系终止及其它任何期限的届满或终结的影响。 8、与本协议有关的任何争议，双方应通过友好协商解决。如协商不成，任何一方可将此争议提交深圳仲裁委员会进行仲裁。仲裁裁决是终局的，对双方均有约束力。本协议适用中华人民共和国法律。 9、本协议一式两份，双方各执一份，具有同等法律效力。
Web应用是指采用B/S架构、通过HTTP/HTTPS协议提供服务的统称。随着互联网的广泛使用，Web应用已经融入到日常生活中的各个方面：网上购物、网络银行应用、证券股票交易、政府行政审批等等。在这些Web访问中，大多数应用不是静态的网页浏览，而是涉及到服务器侧的动态处理。此时，如果Java、PHP、ASP等程序语言的编程人员的安全意识不足，对程序参数输入等检查不严格等，会导致Web应用安全问题层出不穷。 本文根据当前Web应用的安全情况，列举了Web应用程序常见的攻击原理及危害，并给出如何避免遭受Web 攻击的建议。 1Web应用漏洞原理 Web应用攻击是攻击者通过浏览器或攻击工具，在URL或者其它输入区域（如表单等），向Web服务器发送特殊请求，从中发现Web应用程序存在的漏洞，从而进一步操纵和控制网站，查看、修改未授权的信息。 1.1Web应用的漏洞分类 1、信息泄露漏洞 信息泄露漏洞是由于Web服务器或应用程序没有正确处理一些特殊请求，泄露Web服务器的一些敏感信息，如用户名、密码、源代码、服务器信息、配置信息等。 造成信息泄露主要有以下三种原因： ?Web服务器配置存在问题，导致一些系统文件或者配置文件暴露在互联网中； ?Web服务器本身存在漏洞，在浏览器中输入一些特殊的字符，可以访问未授权的文件或者动态脚本文件源码； ?Web网站的程序编写存在问题，对用户提交请求没有进行适当的过滤，直接使用用户提交上来的数据。 2、目录遍历漏洞 目录遍历漏洞是攻击者向Web服务器发送请求，通过在URL中或在有特殊意义的目录中附加“../”、或者附加“../”的一些变形（如“..\”或“..//”甚至其编码），导致攻击者能够访问未授权的目录，以及在Web服务器的根目录以外执行命令。 3、命令执行漏洞 命令执行漏洞是通过URL发起请求，在Web服务器端执行未授权的命令，获取系统信息，篡改系统配置，控制整个系统，使系统瘫痪等。 命令执行漏洞主要有两种情况：
关于公司员工保密协议 甲方（企业）： 乙方（员工）： 协议号： 乙方因在甲方履行职务，已经（或将要）知悉甲方的商业秘密。为了明确乙方的保密义务，甲、乙双方本着平等、自愿、公平和诚实信用的原则，订立本保密协议。 1.保密的内容和范围 1.1甲、乙双方确认，乙方应承担保守甲方商业秘密的范围应严格依照《中华人民共和国反不正当竞争法》的规定确定。商业秘密是指：不为公众所知悉，能为企业带来经济利益，具有实用性并经企业采取保护措施的技术信息和经营信息劳动合同的管理规定另行规定。 具体解释为： 1.1.1经营信息。包括但不限于： ——客户名单、营销计划、采购资料、定价政策； ——谈判意图、标底、标书内容、招标底牌； ——产品调价方案、合同及效益评估资料、市场开辟和产销策略；——原材料价格、消耗、成本、库存量； ——不公开的财务资料、进货渠道； ——经营决策、与同行竞争成败的信息、文献、报告及生产计划等。——其他由法律部确认的属于商业秘密范畴的经营信息。 1.1.2技术信息。包括但不限于：
——科研题目、科研进展情况； ——科研成果的说明书、计算书、操作规程、技术方案、设计图纸、电路设计、计算机软件等； ——科技成果在生产中的应用情况，科技成果转化价格、可能成为发明的阶段性科研成果、中长期规划、技改计划； ——产品的配方、制作技术、工艺流程、技术诀窍； ——具有国内、外先进水平技术改造方案、工艺技术、操作规程；——新技术、新实验、新材料、新产品等； ——在设计、实验及开发过程中产生的原始记录、数据、有关资料、图纸等； ——试验结果、图纸、样品、样机、模型、模具、操作手册、技术文档等； ——涉及商业秘密的业务函电； ——引进技术中有保密协议的技术资料； ——秘密渠道获得的具有重要参考价值的技术资料； ——计算机软件及数据库，以及相关的传递、存储、查阅和加密措施；——虽不属于先进的工艺技术，但属成套的技术资料、图纸、施工方案；——其他由法律部确认的属于商业秘密范畴的技术信息。 1.2乙方依照法律规定（如在缔约过程中知悉的对方当事人的秘密）和有关协议的约定（如技术协议等）对外承担保密义务的事项也应纳入保密协议的范围。 2.乙方的保密义务
WebGoat学习笔记九 —跨站脚本攻击(Cross-Site Scripting (XSS)) 瞿靖东2015/11/10 版本号：WebGoat 5.4 1、使用XSS钓鱼(Phishing with XSS) 技术概念或主题(Concept / T opic T o T each) 在服务端对所有输入进行验证总是不错的做法。当用户输入非法HTTP响应时容易造成XSS。在XSS的帮助下，你可以实现钓鱼工具或向某些官方页面中增加内容。对于受害者来说很难发现该内容是否存在威胁。 技术原理(How It works ) HTML文档内容很容易篡改的，如果你有权限操作页面源代码。 总体目标(General Goals ) 创建一个form，要求填写用户名和密码。将数据提交到http://localhost/WebGoat/catcher?PROPERTY=yes&user=catchedUserName&password=catched PasswordNam 操作方法(Solutions) 利用XSS可以在已存在的页面中进一步添加元素。该解决方案包括两部分，你需要结合起来使用: 受害人填写一个表格; 以读取脚本的形式，将收集到的信息发送给攻击者。 一个带用户名和密码输入框的表格如下:
员工隐私保密协议 乙方：（员工） 鉴于行业的特殊性，甲方非常重视员工的道德操守，乙方作为甲方聘用员工，乙方必须要遵守公司有关客户业务资料及商业机密的保密协议。为保障甲方及合作客户利益不受损害，双方当事人现就乙方在任职期间及离职以后需保守甲方商业秘密的有关事项订立条款，甲、乙双方以资共守：第一条乙方在甲方任职期间，必须遵守甲方规定的任何成文或不成文的保密规章、制度，履行与其工作岗位相应的保密职责。乙方同意无论在任职期间或离职以后，均不会向甲方以外任何人士、公司、法人或团体透露有关甲方公司业务上之机密资料并向甲方保证不能有任何诋毁甲方的言论。 甲方的保密规章、制度没有规定或不明确之处，乙方亦应本着谨慎、诚实的态度，采取任何必要、合理的措施，维护其于任职期间知悉或者持有的任何属于甲方或者虽属于第三方但甲方承诺有保密义务的商业秘密信息，以保持其机密性。甲方指定专职人员和专用电子邮箱负责公司客户的日常数据传送、联系、对账工作，客户的日常联络和帐户资料的接受或退回由客服人员负责，乙方未经授权，不可以经手或接触。 第二条本合同提及的商业秘密，包括但不限于：客
户名单、行销计划、采购资料、定价政策、财务资料、人事行政资料、培训资料、作业流程等等。 第三条除履行职务的需要之外，乙方承诺，未经甲方同意，不得以泄漏、告知、公布、传授或者其他任何方式使任何第三方（包括非经甲方授权同意知悉该 项秘密的甲方其他职员）知悉属于甲方或者虽属于第三方但甲方承诺有保密义务的商业秘密信息，也不得在履行职务之外使用这些秘密信息。甲方对保管客户提供的文本资料的橱柜进行加锁管理，橱柜由专人保管，乙方因工作需要查阅资料时，必须得到甲方有关负责人许可并登记，并在规定的时间内归还。 第四条乙方承诺，其在甲方任职期间，非经甲方事先同意，不得担任与甲方直接或间接竞争关系之公司的负责人、股东、经理、中介、顾问或雇员。 第五条乙方承诺，无论在受聘期间或离职后，不得鼓励甲方之职员，使其接受其它信用管理、账务管理或其它以不同名义但业务性质与本公司业务内容相近公司之聘用。 第六条乙方因工作需要所持有或保管的一切记录有关甲方秘密信息的文件、资料、图表、笔记、报告、信件、传真、磁带、磁盘、仪器及其它任何形式的载体，均归甲方所有，而无论这些秘密信息有无商业上的价值。乙方不得私自通过网络拷贝、复印和抄录等形式将客户提供的相关资料
网站常见的三种漏洞攻击介绍 国内外黑客组织或者个人为牟取利益窃取和篡改网络信息，已成为不争的事实，在不断给单位和个人造成经济损失的同时，我们也应该注意到这些威胁大多是基于Web网站发起的攻击，在给我们造成不可挽回的损失前，我们有必要给大家介绍几种常见的网站漏洞，以及这些漏洞的防范方法，目的是帮助广大网站管理者理清安全防范思绪，找到当前的防范重点，最大程度地避免或减少威胁带来的损失。 1.SQL语句漏洞 也就是SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB 表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。 有效防范手段：对于SQL注入问题的一般处理方法是账户最小权限原则。以下几种方法推荐使用： 对用户输入信息进行必要检查； 对一些特殊字符进行转换或者过滤； 使用强数据类型； 限制用户输入的长度； 需要注意：这些检查要放在server运行，client提交的任何东西都是不可信的。使用存储过程，如果一定要使用SQL语句，那么请用标准的方式组建SQL语句。比如可以利用parameters对象，避免用字符串直接拼SQL命令。当SQL运行出错时，不要把数据库返回的错误信息全部显示给用户，错误信息经常会透露一些数据库设计的细节。 2.网站挂马 挂马就是在别人电脑里面(或是网站服务器)里植入木马程序，以盗取一些信息或者控制被挂马的电脑做一些不法的勾当（如攻击网站，传播病毒，删除资料等）。网页挂马就是在网页的源代码中加入一些代码，利用漏洞实现自动下载木马到机器里。网站挂马的形式可分为框架挂马、数据库挂马、后台挂马、服务器挂马以及其他形式的挂马方式。 有效防范手段：要防止网站被挂马，可以采取禁止写入和目录禁止执行的功能，这两项功能相组合，就可以有效地防止ASP木马。此外，网站管理员通过FTP上传某些数据，维护网页时，尽量不安装asp 的上传程序。这对于常被ASP木马影响的网站来说，会有一些帮助。当然是用专业的查杀木马工具也是不错的防护措施。 需要注意：管理员权限的用户名和密码要有一定复杂性，并只允许信任的人使用上传程序。 3.XSS跨站攻击
保密协议 本协议由披露方和接受方于_____年____月____日在签订。 双方为发展、评估双方进行业务往来的机会（“业务往来”），追求双方的共同利益，将进行协商和讨论，在讨论和协商过程中，披露方将向接受方披露保密信息，为保证保密信息的安全和机密以及双方的合法权利，经过平等协商和在公平、平等的原则基础上，双方约定如下： 1.术语 1.1 本协议所指的“保密信息”，是指在本协议签订之前或之后，由披露方或受其委托的 第三方所披露或提供的，不论双方以口头、书面或电子形式为载体，也不论披露方是否在该 信息上标明“保密”或其他类似标记的所有数据、信息和资料。保密信息包括但不限于： 1.1.1 与该披露方及其供应商、子公司、关联公司、客户、董事、股东未来的或潜在的 业务、项目、产品、系统、服务、技术、运作、流程、计划、发明创造、技术诀窍、设计， 软件等相关的所有数据、信息和资料。 1.1.2 关于披露方及其供应商、子公司、关联公司、客户、董事、股东的各种管理制度、 操作规范、市场策略、竞争策略、价格策略、市场营销的所有数据、信息和资料。 1.1.3 关于本协议及业务往来（已经进行了和拟进行的）的信息和细节。 1.2 尽管存在上述规定，保密信息不包括以下信息： 1.2.1 接受方已经独立开发的信息，且接受方未曾违反任何法律、法规或侵犯披露方的 任何权利，并且该等信息是在接受方依照本协议条款从披露方获悉该等信息之前独立开发 的。 1.2.2 接受方在依照本协议条款从披露方获悉之前已合法占有的信息，且接受方无需对 该等信息承担任何具有约束力的保密义务。 1.2.3 属于公知信息，且公知状态并非由于接受方的过错所导致。 1.2.4 接受方在未违反其对披露方承担的任何义务的情况下从第三方获得的信息。 2.保密信息的使用 2.1 接受方应确保披露方的保密信息得到严格的保密。未经披露方事先书面同意，接 受方不得基于本合同以外的目的使用保密信息，也不得将保密信息披露给任何第三方。 2.2 接受方应建立并维持有效的安全保密措施来保护保密信息，防止任何违背本协议
跨站脚本攻击XSS攻击与防范指南 文章目录 XSS攻击与防范指南 (1) 第一章、XSS的定义 (1) 第二章、XSS漏洞代码 (1) 第三章、利用XSS盗取cookies. 3 第四章、防范XSS漏洞 (4) 第四章、XSS攻击方法 (4) 第六章、利用Flash进行XSS攻击 (6) 第七章、上传文件进行XSS攻击 (7) 第八章、利用XSS漏洞进行钓鱼 (7) 第一章、XSS的定义 从Wikipedia搜索跨站脚本，解释到跨区脚本(Cross-zone Scripting或者Cross Site Scripting)是指浏览器利用浏览器一些有漏洞的安全解决方案，这种攻击使没有权限跨站脚本在未经授权的情况下以较高的权限去执行，脚本的执行权限被客户端(Web浏览器)扩大升级了。 这些XSS跨站脚本漏洞可能是： *网页浏览器设计缺陷使得在一定的条件下，一个站点完全信任另外一个高权限的站点(或者连个高低权限区域)并去执行高权限站点的脚本。 *网页浏览器配置错误，把不安全的网站放在浏览器高信任列表。 *信任站点(特权区域)存在跨站脚本漏洞 一般的跨站脚本攻击包含两个步骤。首先是利用跨站脚本漏洞以一个特权模式去执行攻击者构造的脚本，然后利用不安全的ActiveX控件执行恶意的行为。通常在安静模式让计算机浏览攻击者指定的网页悄悄下载安装各种恶意代码，如间谍软件、木马软件、蠕虫等。 第二章、XSS漏洞代码 打开记事本，复制下面的代码到几时本中：