security 相关问题

我们在旧版本中使用验证码（重新验证码），这是我们的 ASPX 页面之一中的验证码，该页面在 Synec, Inc 服务的帮助下进行用户注册我们在旧版本中使用验证码（重新验证码），这是我们的 ASPX 页面之一中的验证码，该页面在 Synec, Inc 服务的帮助下进行用户注册 <div class="col-sm-4 form-group"> <div class="g-recaptcha" data-sitekey="6Ld6ALQUAAAAAAW2GDkJiP9xKrfTvyEVDtYBO-kp"></div> </div> 漏洞报告指出存在以下问题扫描过程中发现。该应用程序正在实施弱验证码方案，允许使用验证码提交。此验证码位于网站的注册提交功能中，并非一次性使用。影响缺乏适当的实施违背了网站验证码方案的目的，允许后续请求的自动化使用相同的验证码值。这可能会导致：恶意用户向服务器发送多个请求，并造成浪费的资源/工时组织。具体来说，因为这是在注册提交中建议修复建议实施更强大的验证码方案，例如 Google reCAPTCHA。在“if and else”子句中实现正确的逻辑，这可以区分有效答案和无效答案。在服务器端验证验证码，不允许多次重复使用为了重现验证码问题，使用了 Burp Intercept 工具，但我无法在我的机器上使用该工具我有点卡住了，不知道该往哪个方向走，因为特别是因为我们不能使用 Burp Intercept。有人可以帮助找到解决此漏洞的正确方向吗？这对我有用 protected bool Validate() { string Response = Request["g-recaptcha-response"];//Getting Response String Append to Post Method if ((txtUsername.Text != (Session["PreviousLoginUsername"] ?? string.Empty).ToString() || txtPassword.Text != (Session["PreviousLoginPassword"] ?? string.Empty).ToString()) && (Response == (Session["PreviousLoginCaptcha"] ?? string.Empty).ToString())) { return false; } bool Valid = false; //Request to Google Server HttpWebRequest req = (HttpWebRequest)WebRequest.Create (" https://www.google.com/recaptcha/api/siteverify?secret=6Ld6ALQUAAAAAIVP2u4dTDCnSFG5Yxa8bG8P9rFm&response=" + Response); try { //Google recaptcha Response using (WebResponse wResponse = req.GetResponse()) { using (StreamReader readStream = new StreamReader(wResponse.GetResponseStream())) { string jsonResponse = readStream.ReadToEnd(); JavaScriptSerializer js = new JavaScriptSerializer(); MyObject data = js.Deserialize<MyObject>(jsonResponse);// Deserialize Json Valid = Convert.ToBoolean(data.success); } } if (Valid) { Session["PreviousLoginCaptcha"] = Response; Session["PreviousLoginUsername"] = txtUsername.Text; Session["PreviousLoginPassword"] = txtPassword.Text; } return Valid; } catch (WebException ex) { throw ex; } }

c# asp.net security recaptcha captcha

回答 1 投票 0

网站联系表中的可疑数据

我有一个 IIS 托管网站，该网站从联系表单中获取大量可疑数据。我所说的可疑是指有人的姓名、地址和电话号码...

security web bots

回答 1 投票 0

AMQ229031：无法验证来自 /172.18.0.1:53864 的用户。用户名：管理员； SSL 证书主题 DN：不可用

我正在尝试使用 ActiveMQ Artemis （例如 artemis1）创建一个队列，并使用 Spring Boot 向其发送消息。我正在运行 ActiveMQ Aartemis 的 Docker 实例，但是一旦我发送消息...

spring-boot authentication security activemq-artemis

回答 1 投票 0

如果AWS文件上传访问控制列表（ACL）不是“公共读取”，我如何从客户端（React/Nextjs）读取它

我需要在没有公共读取访问权限的情况下上传一些私有文件，但我还想在受保护的路由中从我的客户端（Reactjs/Nextjs）查看该文件（使用 URL）。我怎样才能实现这个目标...

security amazon-s3 next.js file-upload acl

回答 1 投票 0

内容安全政策 - 外部联属网络营销链接 + Google Adsense

我目前正在开发一个网站/博客项目，仅使用 HTML、CSS 和 JavaScript。我还使用 Google Adsense（内嵌广告 + 让 Google 自动放置广告）和附属链接（来自 1

javascript html security content-security-policy

回答 1 投票 0

拒绝应用内联样式，因为它违反了以下内容安全策略，但我的应用程序中没有内联样式

我想在我的投资组合中添加 csp，并且我已经删除了所有内联样式，但我仍然收到 csp 错误。我正在使用在我的 main.css 文件中解析的 scss，并且我正在导入此 main.css fi...

html css security content-security-policy

回答 1 投票 0

为什么当url中有分号时nginx不拒绝请求？

我有一个nginx.conf如下：服务器 { 监听 443 ssl； # 其他一些 ssl 配置服务器名称 home.aaa.com； # 一些 access_log 和 error_log 配置位置/执行器/ {

security nginx url reverse-proxy directory-traversal

回答 1 投票 0

如何将 API 设为私有（即只能从前端访问，人们无法编写自己的 python 脚本/postman api 调用（

现在我正在使用 JWT 构建一个 React Next.js Web 应用程序进行身份验证，但我不确定如何使某些 API 调用只能从前端访问。我仅使用 HTTP 将 JWT 存储在 cookie 中...

security next.js cookies jwt

回答 1 投票 0

解决 php 中跨站脚本（XSS）的最佳方法/实践？

我有一个 php 网页，它使用 URL 参数来设置一个变量，然后该变量显示在该页面中。网址：webaddress.com/page.php?id=someCity 我们获取 $_GET['id'] 并将其指定为变量...

php security xss

回答 5 投票 0

security 相关问题

最新问题