CN109495488A - 一种基于Cookie加密的安全防御方法和系统 - Google Patents

一种基于Cookie加密的安全防御方法和系统 Download PDF

Info

Publication number
CN109495488A
CN109495488A CN201811469922.1A CN201811469922A CN109495488A CN 109495488 A CN109495488 A CN 109495488A CN 201811469922 A CN201811469922 A CN 201811469922A CN 109495488 A CN109495488 A CN 109495488A
Authority
CN
China
Prior art keywords
cookie
client
request
encryption
aes
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201811469922.1A
Other languages
English (en)
Inventor
赵睿
范渊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou Dbappsecurity Technology Co Ltd
Original Assignee
Hangzhou Dbappsecurity Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou Dbappsecurity Technology Co Ltd filed Critical Hangzhou Dbappsecurity Technology Co Ltd
Priority to CN201811469922.1A priority Critical patent/CN109495488A/zh
Publication of CN109495488A publication Critical patent/CN109495488A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明涉及网络安全技术，旨在提供一种基于Cookie加密的安全防御方法和系统。包括部署在客户端与服务器端之间的WEB应用防护设备上的加密解密装置和安全引擎；加密解密装置用于对服务器端向客户端发送的响应进行Cookie加密，以及对客户端向服务器端发送的请求进行Cookie解密；安全引擎作为客户端与服务器端之间的所有数据传输中介，用于保证客户端正常访问，并针对未能通过Cookie解密的请求执行丢弃、拦截或告警的操作。本发明无需在客户端存储密钥，攻击者因防护设备无法解密而失效。在传统防护设备复杂而高成本的规则集维护及性能瓶颈弊端尽显的情况下，本发明可以作为一种轻量级低成本的解决方案供广泛应用，可以作为轻量级低成本的解决方案。

Description

一种基于Cookie加密的安全防御方法和系统
技术领域
本发明涉及网络安全技术，特别涉及一种基于Cookie加密的安全防御方法和系统。
背景技术
随着互联网的高速发展，WEB应用的安全问题已经成为当今社会的热点。WEB站点通常是由应用程序组成，它们能提供各式各样的服务，功能非常强大。然而，WEB网站向用户提供的服务或展示的内容是动态形成的，而且能够满足用户的个性化需求，这个个性化的需求同时也给WEB网站带来了安全隐患，比如SQL注入攻击、跨站脚本攻击等。同时，AJAX技术的流行，使得XSS攻击威胁变得日趋严重。XSS攻击在OWASP组织分布的OWASP TOP 2018中位列第三，可见XSS攻击所造成的威胁之大。
XSS攻击是一种间接攻击，攻击者通过WEB服务器来攻击其他用户。攻击者向服务器提交一段恶意代码，而在服务器端并没有对用户的输入做足够的安全处理，就将用户输入写入数据库。当其他用户向服务器再次请求含有恶意代码的网页时，服务器就会把包含恶意代码的网页返回，浏览器收到返回信息后进行相应的渲染、解码工作，此时恶意代码被触发执行，用户的机密信息将被窃取，甚至可以控制用户的系统。
WEB应用防护设备防御XSS攻击的传统方式是采用特征匹配方式，首先建立一套完善的规则库，规则库中对各种XSS攻击的特征进行了详细的定义，然后对所有提交的信息与规则库进行匹配检查。一旦发现提交信息中包含或匹配于规则库，就认定为XSS攻击，随即进行相应的阻断或告警。
传统的XSS防御方法的缺陷是显而易见的。XSS攻击和SQL注入攻击一样，都是利用了WEB页面的编写不完善，所以每一种攻击所利用和针对的弱点都不尽相同。而且XSS攻击的特征码灵活多变，这就给XSS漏洞防御带来了困难，因为不可能以单一特征来概括所有XSS攻击。为了提高WEB应用防护设备的XSS防御能力，这就使得维护规则集的特征库变得复杂，同时成本提高。用户提交信息的过程中，WEB应用防护设备需要不停地匹配大量规则，这时候对设备的性能和稳定性也是一种考验。
基于上述传统XSS防御方法的缺陷，本发明提供了一种基于Cookie加密的方法进行XSS攻击和SQL注入攻击等防御。
发明内容
本发明要解决的技术问题是，克服现有技术中的不足，提供一种基于Cookie加密的安全防御方法和系统。
为解决上述技术问题，本发明采用的解决方案是：
提供一种基于Cookie加密的安全防御系统，该安全防御系统包括加密解密装置和安全引擎两部分，部署在客户端与服务器端之间的WEB应用防护设备上；其中：
所述加密解密装置用于对服务器端向客户端发送的响应进行Cookie加密，以及对客户端向服务器端发送的请求进行Cookie解密；
所述安全引擎作为客户端与服务器端之间的所有数据传输中介，用于保证客户端正常访问，并针对未能通过Cookie解密的请求执行丢弃、拦截或告警的操作。
本发明中，所述WEB应用防护设备是指WEB应用防火墙设备(WAF)、入侵防御系统(IPS)或云WAF软件所在的设备。
本发明进一步提供了利用前述系统的基于Cookie加密的安全防御方法，包括以下步骤：
(1)客户端向服务器端发送不包含Cookie的首次请求，安全引擎接收该请求并向服务器端转发；
(2)安全引擎从WEB应用防护设备的后台配置文件中读取AES初始密钥Key；
(3)安全引擎接收来自服务器端的发送给客户端的响应包，该响应包中包含Set-Cookie信息；
(4)加密解密装置利用步骤(2)中AES初始密钥，对响应包中的Set-Cookie信息进行AES加密；
(5)经过AES加密的响应包由安全引擎返回至客户端，客户端的浏览器提取经AES加密的Cookie并保存；
(6)安全引擎再次接收到来自同一个客户端的请求时，该请求已带有经AES加密的Cookie；
(7)由加密解密装置对步骤(6)中的Cookie信息进行AES解密；如果解密失败，则确定本次请求为非法请求，安全引擎根据预先设定的处理方式进行处理；如果解密成功，则安全引擎将该请求转发给服务器端，从而完成整个请求转发过程。
本发明中，所述步骤(3)中，所述Set-Cookie信息存放在响应包的响应头中，Set-Cookie参数包括：名称(name)、值(value)、Cookie有效时间(expire)、URL路径(path)、Cookie送达的主机名(domain)、是否通过安全通道传输(secure)、Cookie失效前经过的秒数(max-age)。
本发明中，该方法还包括通过WEB应用防护设备的前台设置AES加密的配置项，用来指定是否开启客户端IP绑定；如果选择绑定，则在执行步骤(4)时，根据步骤(2)中获取的AES初始密码Key及配置项值ClientIP，重新生成为Key+Client的新的密钥，用于对Set-Cookie信息加密；如果选择不绑定，则直接以AES初始密钥Key的格式对Set-Cookie信息加密。
本发明中，所述步骤(6)中，经AES加密的Cookie信息存放在请求头中。
本发明中，所述步骤(7)中，预先设定的处理方式是指：告警、丢弃或阻断。
发明原理描述：
当前网络安全领域的防护设备在防XSS攻击和其它注入攻击时，通常采用预先定义一套复杂的防护规则，当外部用户行为触发防护规则时进行流量阻断，从而达到对XSS跨站脚本攻击和其它注入攻击的防御。然而，这个过程中防护规则集的维护及防护设备的处理性能将受到挑战。基于Cookie加密的安全防御方法和系统可以忽略Cookie方面的规则防护，同时基于防护设备的性能和风险考虑，在减少XSS攻击的防护规则或者甚至取消XSS的防护规则，通过在防护设备端对用户行为的Cookie进行加密和解密的方法来达到对XSS攻击及其它注入攻击的防御。
与现有技术相比，本发明的有益效果是：
1、本发明的核心意义在于，数据的加密和解密都在防护设备端进行，无需在客户端存储密钥；即在没有密钥的情况下，可以认为密文是无法破解的。并且在全站层面能有效防止跨站脚本攻击盗取用户Cookie的情况，攻击者即使能得到用户session的密文或者输入基于Cookie的SQL注入、命令注入等攻击行为也会因防护设备无法解密而失效。在传统防护设备复杂而高成本的规则集维护及性能瓶颈弊端尽显的情况下，本发明可以作为一种轻量级低成本的解决方案供广泛应用。
2、本发明能够对数据Cookie在防护设备端进行加密和解密，在全站层面有效防止跨站脚本攻击盗取用户Cookie的情况，攻击者即使能得到用户session的密文或者输入基于Cookie的SQL注入、命令注入等攻击行为也会因防护设备无法解密而失效。可以作为轻量级低成本的解决方案。
附图说明
图1为本发明实现流程图；
图2为Cookie加密防御装置结构框图。
具体实施方式
首先需要说明的是本发明是计算机技术在信息安全技术领域的一种应用。在本发明的实现过程中，会涉及到多个软件功能模块的应用。申请人认为，如在仔细阅读申请文件、准确理解本发明的实现原理和发明目的以后，在结合现有公知技术的情况下，本领域技术人员完全可以运用其掌握的软件编程技能实现本发明。前述软件功能模块包括但不限于：防护设备、安全引擎及Cookie加密装置。凡本发明申请文件提及的均属此范畴。
为了能够在保证防护设备性能及稳定性的前提下对当前网络中的跨站脚本攻击及SQL注入攻击进行有效防御，本发明提供一种Cookie加密的安全防御方法，用于对向受保护的WEB站点发来的请求的Set-Cookie进行加密，从而对跨站脚本攻击和SQL注入攻击等进行有效防御。
本发明的安全防御系统作为软件功能模块部署在WEB应用防护设备上。WEB应用防护设备可以是WEB应用防火墙设备(WAF)、入侵防御系统(IPS)或云WAF等软件所在的设备(以下统一简称为防护设备)。安全防御系统由安全引擎和加密解密装置两部分组成。其中安全引擎作为客户端与服务器端之间的所有数据传输中介，保证客户端正常访问，并可对XSS、SQL注入、命令注入等攻击进行丢弃、拦截、告警等操作。加密解密装置用于对服务器向客户端发送的响应进行Cookie加密，对客户端向服务器发送的请求进行Cookie解密。
Cookie就是由服务器发给客户端的特殊信息，而这些信息以文本文件的方式存放在客户端，然后客户端每次向服务器发送请求的时候都会带上这些特殊的信息，当防护设备接收到来自服务器端的响应时，对服务器端包含Set-Cookie的头部信息进行加密，当防护设备接收到来自客户端的请求时，对客户端包含Cookie的头部信息进行解密。
下面结合附图，对本发明的具体实施方式进行详细描述。
安全防御系统部署在客户端与服务器端之间的WEB应用防护设备上，其结构如图2所示，包括加密解密装置和安全引擎两部分。其中：加密解密装置用于对服务器端向客户端发送的响应进行Cookie加密，以及对客户端向服务器端发送的请求进行Cookie解密；安全引擎作为客户端与服务器端之间的所有数据传输中介，用于保证客户端正常访问，并针对未能通过Cookie解密的请求执行丢弃、拦截或告警的操作。
基于Cookie加密的安全防御方法，具体包括下述步骤：
步骤S01：安全引擎接收来自客户端向服务器端发送的首次请求，首次请求不包含Cookie。安全引擎接收该请求并向服务器端转发。
步骤S02：安全引擎从WEB应用防护设备的后台配置文件中读取AES初始密钥Key。AES初始密钥Key是由数字和字母组成的16位随机数，并可在WEB应用防护设备的前台点击刷新按钮进行随机更新。
步骤S03：安全引擎接收来自服务器端向客户端发送的响应包。
响应包中应包含Set-Cookie信息，通常这些信息会存放在响应头中，Set-Cookie参数包括名称(name)、值(value)、Cookie有效时间(expire)、URL路径(path)、Cookie送达的主机名(domain)、是否通过安全通道传输(secure)、Cookie失效前经过的秒数(max-age)。
步骤S04：加密解密装置对服务器向客户端发送的响应包包含的Set-Cookie进行AES加密。本步骤所述AES加密属现有技术，是一种高级加密标准，也称之为对称加密。防护设备可设置配置项，用来指定是否开启客户端IP绑定，根据步骤S02中获取主的AES初始密码Key及配置项值ClientIP，重新生成为Key+Client或Key的密钥。
配置项的内容包括客户端IP绑定，分为是和否两个选项，绑定客户端IP时，新的密钥以Key+Client的格式生成，否则以Key的格式生成。
步骤S05：安全引擎将加密Cookie后的响应包返回客户端。客户端浏览器保存的Cookie即为AES加密后的Cookie。
步骤S06：安全引擎再次接收到来自同个客户端的请求。此时的请求已带有AES加密Cookie，Cookie的信息通常存放在请求头。
步骤S07：加密解密装置对客户端发送给服务器端的包含有加密Cookie的信息进行AES解密。
本步骤所述AES解密属现有技术，是一种高级解密标准，也称之为对称解密。防护设备管理软件前台可设置配置项，用来指定是否开启客户端IP绑定。解密装置根据步骤S02中获取的AES初始密码Key及配置项值ClientIP，使用Key+Client或Key的秘钥进行AES解密。
步骤S08：若解密失败，则确定本次请求为非法请求，安全引擎根据预先设定的处理方式进行处理，如告警、丢弃或阻断。若是解密成功，安全引擎将该请求发送给服务器端。至此完成整个请求转发过程。
最后，需要注意的是，以上列举的仅是本发明的具体实施例。显然，本发明不限于以上实施例，还可以有很多变形。本领域的普通技术人员能从本发明公开的内容中直接导出或联想到的所有变形，均应认为是本发明的保护范围。

Claims (7)

1.一种基于Cookie加密的安全防御系统，其特征在于，该安全防御系统包括加密解密装置和安全引擎两部分，部署在客户端与服务器端之间的WEB应用防护设备上；其中：
所述加密解密装置用于对服务器端向客户端发送的响应进行Cookie加密，以及对客户端向服务器端发送的请求进行Cookie解密；
所述安全引擎作为客户端与服务器端之间的所有数据传输中介，用于保证客户端正常访问，并针对未能通过Cookie解密的请求执行丢弃、拦截或告警的操作。
2.根据权利要求1所述的系统，其特征在于，所述WEB应用防护设备是指WEB应用防火墙设备、入侵防御系统或云WAF软件所在的设备。
3.利用权利要求1所述系统的基于Cookie加密的安全防御方法，其特征在于，包括以下步骤：
(1)客户端向服务器端发送不包含Cookie的首次请求，安全引擎接收该请求并向服务器端转发；
(2)安全引擎从WEB应用防护设备的后台配置文件中读取AES初始密钥Key；
(3)安全引擎接收来自服务器端的发送给客户端的响应包，该响应包中包含Set-Cookie信息；
(4)加密解密装置利用步骤(2)中AES初始密钥，对响应包中的Set-Cookie信息进行AES加密；
(5)经过AES加密的响应包由安全引擎返回至客户端，客户端的浏览器提取经AES加密的Cookie并保存；
(6)安全引擎再次接收到来自同一个客户端的请求时，该请求已带有经AES加密的Cookie；
(7)由加密解密装置对步骤(6)中的Cookie信息进行AES解密；如果解密失败，则确定本次请求为非法请求，安全引擎根据预先设定的处理方式进行处理；如果解密成功，则安全引擎将该请求转发给服务器端，从而完成整个请求转发过程。
4.根据权利要求3所述的方法，其特征在于，所述步骤(3)中，所述Set-Cookie信息存放在响应包的响应头中，Set-Cookie参数包括：名称、值、Cookie有效时间、URL路径、Cookie送达的主机名、是否通过安全通道传输、Cookie失效前经过的秒数。
5.根据权利要求3所述的方法，其特征在于，该方法还包括通过WEB应用防护设备的前台设置AES加密的配置项，用来指定是否开启客户端IP绑定；如果选择绑定，则在执行步骤(4)时，根据步骤(2)中获取的AES初始密码Key及配置项值ClientIP，重新生成为Key+Client的新的密钥，用于对Set-Cookie信息加密；如果选择不绑定，则直接以AES初始密钥Key的格式对Set-Cookie信息加密。
6.根据权利要求3所述的方法，其特征在于，所述步骤(6)中，经AES加密的Cookie信息存放在请求头中。
7.根据权利要求3所述的方法，其特征在于，所述步骤(7)中，预先设定的处理方式是指：告警、丢弃或阻断。
CN201811469922.1A 2018-11-27 2018-11-27 一种基于Cookie加密的安全防御方法和系统 Pending CN109495488A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811469922.1A CN109495488A (zh) 2018-11-27 2018-11-27 一种基于Cookie加密的安全防御方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811469922.1A CN109495488A (zh) 2018-11-27 2018-11-27 一种基于Cookie加密的安全防御方法和系统

Publications (1)

Publication Number Publication Date
CN109495488A true CN109495488A (zh) 2019-03-19

Family

ID=65699273

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811469922.1A Pending CN109495488A (zh) 2018-11-27 2018-11-27 一种基于Cookie加密的安全防御方法和系统

Country Status (1)

Country Link
CN (1) CN109495488A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111211891A (zh) * 2020-01-13 2020-05-29 广东跑合中药材电子商务有限公司 一种多维度aes对称加解密方法
CN111209544A (zh) * 2019-12-17 2020-05-29 中移（杭州）信息技术有限公司 Web应用安全保护方法、装置、电子设备及存储介质
CN112260990A (zh) * 2020-09-16 2021-01-22 厦门网宿有限公司 一种安全访问内网应用的方法和装置
CN112954047A (zh) * 2021-02-08 2021-06-11 上海弘积信息科技有限公司 一种通过负载均衡设备进行cookie加密的方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103618754A (zh) * 2013-12-20 2014-03-05 山东中创软件商用中间件股份有限公司 一种Cookie防篡改方法及装置
CN104113528A (zh) * 2014-06-23 2014-10-22 汉柏科技有限公司 一种基于前置网关的防止敏感信息泄露的方法和系统
CN104766013A (zh) * 2015-04-10 2015-07-08 北京理工大学 一种基于跳表的跨站脚本攻击防御方法
CN106022166A (zh) * 2016-06-02 2016-10-12 东北大学 一种代码复用攻击防御系统及方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103618754A (zh) * 2013-12-20 2014-03-05 山东中创软件商用中间件股份有限公司 一种Cookie防篡改方法及装置
CN104113528A (zh) * 2014-06-23 2014-10-22 汉柏科技有限公司 一种基于前置网关的防止敏感信息泄露的方法和系统
CN104766013A (zh) * 2015-04-10 2015-07-08 北京理工大学 一种基于跳表的跨站脚本攻击防御方法
CN106022166A (zh) * 2016-06-02 2016-10-12 东北大学 一种代码复用攻击防御系统及方法

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111209544A (zh) * 2019-12-17 2020-05-29 中移（杭州）信息技术有限公司 Web应用安全保护方法、装置、电子设备及存储介质
CN111209544B (zh) * 2019-12-17 2022-07-01 中移（杭州）信息技术有限公司 Web应用安全保护方法、装置、电子设备及存储介质
CN111211891A (zh) * 2020-01-13 2020-05-29 广东跑合中药材电子商务有限公司 一种多维度aes对称加解密方法
CN111211891B (zh) * 2020-01-13 2023-04-28 广东跑合中药材电子商务有限公司 一种多维度aes对称加解密方法
CN112260990A (zh) * 2020-09-16 2021-01-22 厦门网宿有限公司 一种安全访问内网应用的方法和装置
CN112260990B (zh) * 2020-09-16 2022-03-08 厦门网宿有限公司 一种安全访问内网应用的方法和装置
CN112954047A (zh) * 2021-02-08 2021-06-11 上海弘积信息科技有限公司 一种通过负载均衡设备进行cookie加密的方法

Similar Documents

Publication Publication Date Title
US10469251B2 (en) System and method for preemptive self-healing security
CN109495488A (zh) 一种基于Cookie加密的安全防御方法和系统
Sumitra et al. A survey of cloud authentication attacks and solution approaches
CN111464503B (zh) 基于随机多维变换的网络动态防御方法、装置及系统
Yoo et al. Case study of the vulnerability of OTP implemented in internet banking systems of South Korea
Pattewar et al. Detection of SQL injection using machine learning: a survey
CN107563221A (zh) 一种用于加密数据库的认证解码安全管理系统
WO2008053279A1 (en) Logging on a user device to a server
Calzavara et al. Sub-session hijacking on the web: Root causes and prevention
CN105516066A (zh) 一种对中间人的存在进行辨识的方法及装置
Brekalo et al. Mitigating password database breaches with Intel SGX
Kumar Cloud computing: threats, attacks and solutions
CN104376270A (zh) 一种文件保护方法及系统
EP3044716B1 (en) Server using unpredictable scrambled cookie names
Lee et al. Secure and efficient protection for HTTP cookies with self‐verification
Bouziani et al. A comparative study of open source idss according to their ability to detect attacks
Beulah et al. Survey on security issues and existing solutions in cloud storage
Chen et al. Path leaks of HTTPS Side-Channel by cookie injection
AlShalaan et al. Secure Storage System Using Cryptographic Techniques
Namitha et al. A Survey on Session Management Vulnerabilities in Web Application
Holtmann Single Sign-On Security: Security Analysis of real-life OpenID Connect Implementations
Wu et al. Implementation vulnerability associated with OAuth 2.0--A case study on Dropbox
Desai et al. The web: a hacker's heaven and an on-line system
Rahimi A Study of the Landscape of Security Issues, Vulnerabilities, and Defense Mechanisms in Web Based Applications
US11356415B2 (en) Filter for suspicious network activity attempting to mimic a web browser

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20190319