认识达内从这里开始

相对于网络安全问题来说，一般只要是被发现的问题就一定有合适的解决方法，下面我们就通过案例分析来了解一下，常见的软件编码问题以及加密方法。

编码问题

现而今互联网应用普遍会要求研发环境所有字符编码必须是UTF-8(还在用GBK?那是铁了心不想进军国际)。统一编码对很多人可能只是意味着：打开IDE不乱码，前后端数据传输不乱码等等。其实混乱的字母编码很可能导致安全问题!

SQL列截断攻击

在设计可变长度列的时候，到底设置多长很多人是拍脑袋，就算突然哪天发现长度不够了，大不了Alter加长一下呗。但是实际情况是，这里就有漏洞!

MYSQL里面有个sql_mode选项，设置为default时，意味着没有开启STRICT_ALL_TABLES选项，用户插入超长的值只会提示warning,而不是error报异常。利用这点就可以实现越权访问等攻击。

WordPress就出现过一个真实的案例，注册一个用户名为“admin(55个空格)x”的用户，存到数据库的时候被截断了，这样数据库里就有两用户名是admin的记录。当然你可以说二条有空格不会用等式查询没问题，但如果出现like之类的语句呢，谁也不敢保证。

CRLF注入

CR=回车(ASCII13,\r,0x0d)，本义是光标重新回到本行开头，r的英文return，控制字符可以写成CR，即CarriageReturn。

LF=换行(ASCII10,\n,0x0a)，本义是光标往下一行(不一定到下一行行)，n的英文newline，控制字符可以写成LF，即LineFeed

在计算机还没有出现之前，有一种叫做电传打字机(TeletypeModel33)的玩意，每秒钟可以打10个字符。但是它有一个问题，就是打完一行换行的时候，要用去0.2秒，正好可以打两个字符。要是在这0.2秒里面，又有新的字符传过来，那么这个字符将丢失。

加密算法攻击

常见的对称加密算法分为分组加密算法与流密码加密算法两种。

分组加密算法基于“分组”(block)进行操作，根据算法的不同，每个分组的长度可能不同。代表算法有DES,3-DES,Blowfish,IDEA,AES等。

而流密码加密算法，则每次只处理一个字节，加密和解密双方使用相同伪随机加密数据流，一般都是逐位异或随机密码本的内容。代表有RC4,ORYX,SEAL等。

1流密码攻击

流密码加密算法的性能非常好，因此非常受开发者的环境。但是在流密码的使用中，常见的错误便是使用同一个秘钥进行多次加解密。破解流密码的这种攻击称作“ReusedKeyAttack”，在这种攻击下，攻击者不需要知道秘钥就可以还原出明文。

2ECB模式的缺陷

分组加密算法，除了算法本身，还有一些通用的加密模式，常见的有：ECB,CBC,CFB,OFB,CTR等。如果加密模式被攻击，那么不论加密算法的秘钥有多长，都可能不安全。

ECB模式(电码簿模式)是简单的一种加密模式，它的每个分组之间相对独立。

注意，ECB模式的缺陷并非是某个加密算法的问题，即使强壮如AES-256算法，只要使用ECB模式，也无法避免这问题。因此，当需要加密的明文长度大于一个分组的长度是，应当避免使用ECB模式。

【免责声明】本文系本网编辑部分转载，转载目的在于传递更多信息，并不代表本网赞同其观点和对其真实性负责。如涉及作品内容、版权和其它问题，请在30日内与管理员联系，我们会予以更改或删除相关文章，以保证您的权益!