[国内信息] 阿里云全部产品幸运券分享，大家可以免费领取啦！ [复制链接]
查看:119311 | 回复:3801

gydtep · 发表于 2018-10-12 13:52:59

sql语句尽可能简单

gydtep · 发表于 2018-10-12 14:32:43

OR改写为IN()
or的效率是n级别

gydtep · 发表于 2018-10-12 15:41:47

在对他的代码做评审时，我们发现所有的DAO层实现都是直接拼接SQL和参数

gydtep · 发表于 2018-10-12 17:37:37

通过机器注册：直接跳过了前端的表单校验，

gydtep · 发表于 2018-10-12 19:47:05

比如网站上传图片的功能没有严格校验后缀名。

gydtep · 发表于 2018-10-12 21:23:36

这样攻击者上传此类文件也无法执行

gydtep · 发表于 2018-10-13 10:39:10

OA系统添加了登录需要sj短信验证

gydtep · 发表于 2018-10-13 13:46:37

一旦获取了后台管理权限，剩下的就交给你了。

gydtep · 发表于 2018-10-13 20:24:33

管理员账户必须使用非缺省加密处理，必要时使用物理验证。

gydtep · 发表于 2018-10-13 23:01:46

：防护墙打开，仅开放必要的端口如80，13389，