在网站中实施管理页面的最佳和安全的方法是什么？

Question

请重复阅读完整的问题，然后重复说。有相似之处，但有所不同。

我有一个网站，用户可以发布广告。 它是使用ASP.NET编写的。 因此，如果用户发布广告，则应该经过审核路径。（涉及到管理员）

例如：用户发布广告。 然后，管理员登录到他的管理页面并查看广告，然后给予批准。

我在同一个解决方案文件中开发了它。 目前，我将此页面放在一个文件夹中。 要访问它，用户必须输入

www.test.com/admin/review.aspx

手动。 因为该页面未从主网站链接。 并且此管理员用户在用户帐户表中没有用户帐户。 请注意，整个站点都使用SSL保护 。

因此，管理员必须输入密码才能进入此页面。 此密码是硬编码的（不是从数据库获取的）。

那我使用正确的方法吗？ 黑客可以攻击此页面吗？

我不希望搜索引擎将此页面编入索引。 另外，这种硬编码的密码方法又如何呢？ 这是一种安全的方法吗？ 这是在此域中实现此页面的好方法吗？ 我的网站以.org和.info等结尾有不同的域。我可以使用这样的域来访问我的管理页面吗？

告诉我最佳安全的方法。 非常感谢你。

Answer 1

硬编码的密码永远不是一个好主意：

• 网站的开发人员将知道该应用程序所有部署的管理员密码。
• 如果密码被攻击者发现，则无法轻易更改。
• 该应用的预生产版本将使用与实时版本相同的管理员密码。

管理页面的安全性应基于URL隐藏的事实。 URL很难保存，因为它们存储在浏览器和代理日志中，通过电子邮件发送，并且如果跟踪链接或使用其他域的资源（例如JQuery），URL则在referer标头中泄漏。

隐藏来自搜索引擎的页面是一个好主意，但是可以通过使用meta标签 （而不是robots.txt ，因为任何人都可以查看机器人来确定您的秘密页面的位置。

使用已建立的安全性方法来确保您的管理功能安全：

• 实施TLS / SSL，以便所有访问都通过HTTPS进行，以减轻中间人攻击。
• 在多次错误的密码猜测之后，实施帐户/ IP锁定。
• 使用两因素身份验证（例如Google Authenticator）来减轻网络钓鱼攻击。
• 将密码存储在数据库中或将身份验证外包给例如Open ID。
• 如果将密码存储在数据库中，则对密码进行哈希处理和加盐处理，并使用慢速算法（例如bcrypt，scrypt或PDKDF2），可以避免的迭代次数最多。