容!在你控制范围以外的任何来源的输入内容都必须要进行检查，在你的应用程序对数据执行操作之前，任何不符合预期的数据类型的字符都要删除。例如，如果你期待着一个电子邮件主题行，这个数据中的所有的字符都应该是字母、数字和标点符号。如果你的应用程序期待着一个文件名，这个数据中只能包含合法地在文件名中使用的字符。如果程序员在这两个例子的情况下简单地过滤掉CR和LF字符，这个攻击就失败了。
用户输入是“坏字符”的一个来源。但是，你不要忘记检查你从来没有编写过的其它程序输入的内容。在许多情况下，攻击者可以把一个注入攻击从一个有漏洞的应用程序转移到一个基本的例行程序中。程序员不会检查基本的例行程序中的数据，因为那里的数据不是直接来自于用户。你要把任何你不能跟踪到可信赖的来源的数据都当作被感染的数据。这样，你就安全了。
数据载入中...
页码：[1] [2] [3] [4] [5] 第5页、共5页 |
