ColdFusion安全[关闭]

Question

从恶意用户那里获取coldfusion网页的最佳做法是什么？ （包括但不限于sql注入攻击）

cfqueryparam足够吗？

Answer 1

我使用修改后的portcullis，并过滤所有传入的var范围（URL，FORM，COOKIE）onRequestStart。 http://portcullis.riaforge.org/

Answer 2

Pete Freitag有一个很棒的博客，尤其是关于Hardening ColdFusion的这篇文章

Answer 3

另一个了解安全性（以及各种其他主题）的好地方是查看Charlie Arehart的大量记录用户组演示文稿： http ： //www.carehart.org/ugtv/

Answer 4

以下是有关可用于防止XSS的良好工具的信息。

https://www.owasp.org/index.php/Category:OWASP_AntiSamy_Project

http://www.petefreitag.com/item/760.cfm

相当容易实现和基于Java。

Answer 5

我想说ColdFusion的最佳实践类似于用任何语言编写Web应用程序的实践。

我最近阅读了Essential PHP Security Chris Shiflett，并且讨论的大多数问题也影响ColdFusion，尽管处理它们的语法可能略有不同。 我希望还有其他（可能更好的）语言不可知的书籍，其中包含可以很容易地改变以便在ColdFusion中使用的原则。

Answer 6

虽然使用预构建的解决方案可行，但我建议您了解必须保护的所有可能问题。 在亚马逊上查看Hack Proofing ColdFusion。

Answer 7

永远不要相信客户。

特定于ColdFusion的“设置并忘记”遵循上述服务器管理员强化指南，使服务器保持最新状态，并在Twitter上关注ColdFusion以立即了解任何新问题。

对于所有语言都很常见的应用安全性，您应该验证从客户端接触服务器的每条信息。 表单是明显的严格控制区域，但不要忘记可能用于应用程序状态管理或控制的URL参数。 像＆STARTROW = 10＆标签的东西=安全未“应该”被用户触摸是用户输入。 即使您的应用程序永远不会破坏无效数据，您可能也不知道将来如何使用该数据。 验证可以简单到确保某人没有输入100个字符长的名字，并且不包含编程字符或确保＆startRow始终是一个数字。 这些是应用程序开发人员有时会跳过的小事情，因为只要您按预期使用软件，一切正常。

我相信你可以把Sony Playstation黑客作为一个例子。 不幸的是，他们没想到有人会破解客户端（PlayStation控制台）并操纵PlayStation控制台软件来破解服务器。 服务器信任客户端。

永远不要相信客户。

Answer 8

你可以查一下 -

http://help.adobe.com/en_US/ColdFusion/10.0/Developing/WSe61e35da8d3185183e145c0d1353e31f559-8000.html

Answer 9

我向您推荐Justin McLean“ ColdFusion安全与风险管理 ”的精彩演讲。 它包括一个案例研究。

PDF演示文稿http://cdn.classsoftware.com/talks/CFMeetupSecurity.pdf

视频流： http ： //experts.adobeconnect.com/p22718297

Answer 10

CfQueryParam非常重要，但还不够。

我们在工作中使用了一个盒装解决方案： http ： //foundeo.com/security/ 。 它涵盖了大部分基地。 即使您不想购买它，您也可以查看它的功能集并了解您应该考虑的事项。