标签: security

我正在使用Oracle进行开发.我一直用来重建数据库的引导帐户的密码已过期.

如何永久关闭此用户(以及所有其他用户)的密码过期时间？

我使用的是Oracle 11g,默认密码过期.

我正在做一个登录页面.我有UITextField的密码.

显然,我不希望看到密码; 相反,我希望圈子在打字时显示.你如何设置这个领域的发生？

在安全框架的背景下,一些术语通常出现在主题,用户和主体上,但我无法找到明确的定义和它们之间的区别.

那么,这些术语究竟是什么意思,为什么需要这些主题和主体的区别呢？

我的产品有几个组件:ASP.NET,Windows Forms App和Windows Service.95%左右的代码是用VB.NET编写的.

出于知识产权的原因,我需要对代码进行模糊处理,直到现在我一直在使用现已超过5年的dotfuscator版本.我认为现在是时候转向新一代工具了.我正在寻找的是在搜索新的混淆器时我应该考虑的一系列要求.

我知道到目前为止我应该寻找的东西:

• 序列化/反序列化.在我目前的解决方案中,我只是告诉该工具不要混淆任何类数据成员,因为无法加载以前序列化的数据的痛苦实在太大了.
• 与构建过程集成
• 使用ASP.NET.在过去,我发现这个问题是由于更改.dll名称(每页经常有一个) - 并非所有工具都能很好地处理.

如果你想在Java中使用加密强大的随机数,你可以使用SecureRandom.不幸的是,SecureRandom可能会很慢.如果它/dev/random在Linux上使用,它可以阻止等待足够的熵建立.你如何避免性能损失？

有没有人使用Uncommon Maths作为解决这个问题的方法？

任何人都可以确认JDK 6中已经解决了这个性能问题吗？

我正在写一个JACC提供者.

一路上,这意味着实施一个PolicyConfiguration.

的PolicyConfiguration是负责从应用服务器,接受配置信息,如哪些权限累积到哪些角色.这样,Policy以后可以在递交有关当前用户的信息以及他正在尝试做的事情时做出授权决定.

但是,它不是PolicyConfiguration维护角色及其权限之间映射的(合理的)合同的一部分Principals,而是分配给这些角色.

通常 - 总是,实际上 - 应用程序服务器容纳此映射.例如,Glassfish上,你通过影响供给像这样的东西映射sun-web.xml和sun-ejb-jar.xml等您的Java EE模块.(这些供应商特定的文件负责说,例如,superusers是一个将被分配应用程序角色的组admins.)

我想重用这些文件提供的功能,我希望尽可能广泛的应用程序服务器.

这是 - 完全随意 - IBM对此事的看法,这似乎证实了我怀疑我想要做的事情基本上是不可能的.(对于我的情况,更多的弹药,这个特定的Java EE合同不值得它打印的纸张.)

我的问题:我如何获得这个主要角色映射信息 - 对于初学者 - Glassfish和JBoss来自PolicyConfiguration？如果有一种我不知道的标准方法,那我就是耳朵.

我可以理解,对密码施加最小长度非常有意义(为了节省用户),但我的银行要求密码长度在6到8个字符之间,我开始想知道......

• 难道这不会让蛮力攻击更容易吗？(坏)
• 这是否意味着我的密码未加密存储？(坏)

如果某人(希望)有一些优秀的IT安全专业人员为他们工作,那么我是否应该考虑做类似的事情？这有什么优点/缺点？

我做了很多搜索,还阅读了PHP $ _SERVER文档.对于在我的网站中使用的简单链接定义,我的PHP脚本使用哪个权限？

$_SERVER['SERVER_NAME'] 是基于您的Web服务器的配置文件(在我的情况下是Apache2),并根据一些指令而变化:(1)VirtualHost,(2)ServerName,(3)UseCanonicalName等.

$_SERVER['HTTP_HOST'] 基于客户的要求.

因此,在我看来,为了使我的脚本尽可能兼容而使用的正确方法是$_SERVER['HTTP_HOST'].这个假设是否正确？

后续评论:

我想在读完这篇文章之后我有点偏执,并注意到有些人说"他们不会相信任何一个$_SERVER变种":

• http://markjaquith.wordpress.com/2009/09/21/php-server-vars-not-safe-in-forms-or-links/

• http://php.net/manual/en/reserved.variables.server.php#89567(评论:Vladimir Kornea 14-Mar-2009 01:06)

显然,讨论主要是关于$_SERVER['PHP_SELF']为什么你不应该在表单action属性中使用它而没有适当的转义以防止XSS攻击.

我对上述原始问题的结论是$_SERVER['HTTP_HOST'],即使在表单中使用,也可以"安全"地使用网站上的所有链接,而不必担心XSS攻击.

如果我错了,请纠正我.

在Visual Studio中创建新的ASP.NET应用程序时,会自动创建几个文件和文件夹.其中一个文件夹被调用App_Data.

此外,当通过选择菜单选项发布网站时,可以Build->Publish使用复选框Include files from the App_Data folder.

我是否正确地假设放入此文件及其子文件夹的文件无法通过网络访问？例如,放入我打算仅由应用程序代码使用的文件夹资源是否安全？

该App_Data文件夹的真正用途是什么？

编辑:

谢谢你的所有答案.从目前为止收到的答案中,我最感兴趣的是提到的两点:

1. App_Data本质上是基于文件的数据存储的存储点
2. 它不应该由Web查看,并且是Web应用程序存储和读取数据的地方

是否有人能够确定如何确保"无法通过网络查看"？我可以在执行标准部署时依赖于这一事实,还是需要检查服务器上的某些IIS设置.

在我有一组pdf文件的情况下,我想只能从应用程序访问.App_Data文件夹是否适合使用,或者我应该创建一个单独的文件夹并手动设置IIS以确保Web无法访问它？

准备语句如何帮助我们防止SQL注入攻击？

维基百科说:

准备好的语句对SQL注入具有弹性,因为稍后使用不同协议传输的参数值无需正确转义.如果原始语句模板不是从外部输入派生的,则不能进行SQL注入.

我看不清楚原因.简单的英语和一些例子中有什么简单的解释？