有哪些信誉好的足球投注网站- 1、本文档共15页，可阅读全部内容。
- 2、有哪些信誉好的足球投注网站（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
- 3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 5、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 6、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 7、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 8、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
构建高安全性构建高安全性ASPASP.NETNET
AJAXAJAX应用应用
MSDN特邀讲师
jeffz@
本次课程内容包括本次课程内容包括
•构建高安全性构建高安全性ASP.NETAJAX应用程序序
–与与MySpaceySpace的的AJJAX安全安全
–JSONHijacking
–ScriptScriptInjectionInjection
–其他
收听本次课程需具备的条件收听本次课程需具备的条件
•了解ASP.NETAJAX使用
Level300
AJAXAJAX安全问题安全问题
•AJAX的兴起使带来一些以往不关注的
安安全破坏坏
–数据
–提交提交
•即便是和MySpace都曾遭遇过严重
的AJAX的安全问题
•ASPASP.NETNETAJAXAJAX在实现时也考虑了在实现时也考虑了一些处些处
理安全问题的
AJAXAJAX安全问题的两大分类安全问题的两大分类
•JSONHijacking
–Gmail因此造成用户联系人列表丢失因此造成用户联系人列表丢失
•ScriptInjection
–又被称为又被称为XSSXSS（（CCross-SitSiteScripting））
–MySpace曾因此造成蠕虫式地提交，使大
量用户互相加为好友。
•破坏破坏AJAXAJAX应用程序安全的应用程序安全的很多很多，，但但一
般逃不出这两大类
JSONJSONHijackingHijacking
•JSON已经成为AJAX方式通信最常用的数
据传输格式据传输格式
•对于一些AJAXAPI，仅仅使用基于
的安全验证就足够了吗的安全验证就足够了吗？？
•JSON作为一种输出格式足够安全吗？
GmailGmail所所的的JSONJSONHijackingHijacking
•用户户登录Gmail，发现件件
•信件内容将用户信件内容将用户至至一个个站点站点
•在站点的页面中，使用script/加载
Gmail用于获取当前用户联系人列表的接口用于获取当前用户联系人列表的接口，
由于当前用户在Gmail的中存在验证
，因此成功，获得JSON数据。
••由于由于站点页面中的特殊站点页面中的特殊JavaScriptJavaScript代码代码，
JSON字符串在Parse时被劫持。
JSONJSONHijackingHijacking的防范的防范
•避免免script/方式的能够获取数据
–使用使用HTTPPOSOST
–使用特定的Content-Type
–放置特定的放置特定的HeaderHeader
–在结果字符串前输出while(true);
•ASP.NETAJAX的WebService可以使
用用POSTPOST，，并且并且ContentContent-TypeType要求为要求为
application/json，因此能保证安全。
DEMO1
JSONJSONHijackingHijacking的重现与防的重现与防
范范
ScriptScriptInjectionInjection
•在页面中放置有危害的JavaScript代代码，可
用用于窃取用户窃取用户的Auth，或者或者以用户用户
进行操作。
••这种危害存在已久这种危害存在已久，只是只是AJAXAJAX的流行使之的流行使之
重现江湖，效果更为严重。
•ScriptInjecti
文档评论（0）