[請問] Web Server Log已回收

看板ask (問板)作者 (毛毛)時間11年前 (2014/11/26 00:38), 11年前編輯推噓2(2019)
留言21則, 2人參與, 最新討論串1/1
想請問 假如 網頁表單是用POST method去提交帳號密碼 跟後端的資料庫系統比對 符合的話登入 不符合則不能登入 這樣子利用POST method方式去提交 會比較安全 但是我自己實作一次 環境是用iis 單純檢查SERVER的LOG 想看自己送出了甚麼 發現連W3C格式的Web server Log裡 也都沒有顯示提交了什麼... 這樣子的話 單純檢查Log 好像也檢查不出來 別人提交了什麼? 是吧? 是的話 這樣子Log檔 在某些情況下...好像就變成沒有用了? -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 202.5.249.97 ※ 文章網址: http://www.ptt.cc/bbs/ask/M.1416933481.A.518.html ※ 編輯: momo81 (202.5.249.97), 11/26/2014 00:39:14

11/26 00:49, , 1F
基本上我不建議你用這種方式檢查登入的合法性,第一
11/26 00:49, 1F

11/26 00:49, , 2F
Log 跟 程式 是獨立運作的,互不相干
11/26 00:49, 2F

11/26 00:50, , 3F
第二,POST 本來就不會顯示資料 (get還會在log裡面留下
11/26 00:50, 3F

11/26 00:50, , 4F
網址) 。POST在Log裡面只看的到存取檔名而已
11/26 00:50, 4F

11/26 00:51, , 5F
要做檢查,我會建議你 1.檢查輸入資料(我不知道asp是
11/26 00:51, 5F

11/26 00:52, , 6F
什麼語法,但php可以用 preg_match 去比對 regex,過濾
11/26 00:52, 6F

11/26 00:52, , 7F
輸入的資料,防止SQL Injection對資料庫造成傷害
11/26 00:52, 7F

11/26 00:53, , 8F
2.程式裡面可以用類似session變數的方式,去存使用者登
11/26 00:53, 8F

11/26 00:53, , 9F
入時產生的唯一識別碼(比如說timeStamp),登入成功之後
11/26 00:53, 9F

11/26 00:53, , 10F
只要檢查資料庫裡面有沒有這一筆 timeStamp 就好了
11/26 00:53, 10F

11/26 00:54, , 11F
如果重覆登入,因為timeStamp不符,舊的就會被踢掉
11/26 00:54, 11F

11/26 00:54, , 12F
同一時間只允許一個使用者登入。
11/26 00:54, 12F

11/26 00:55, , 13F
表單傳遞的安全性,說到造假POST又是另外一回事了...
11/26 00:55, 13F
嗯 謝謝! 我想要知道 Log檔 假如在沒串改過的情況下 到底可不可以還原 當時使用者的行為.. 看來應該是不行...! ※ 編輯: momo81 (202.5.249.97), 11/26/2014 01:01:23

11/26 01:17, , 14F
Log的功能只有記錄而已,而且"一般"不會去看 (當然為了
11/26 01:17, 14F

11/26 01:17, , 15F
安全要定期用掃的看一下access.log或error.log)
11/26 01:17, 15F

11/26 01:17, , 16F
或是debug才會看error.log (我的習慣啦)
11/26 01:17, 16F

11/26 01:18, , 17F
而POST在Log裡面的記錄只有存取的檔名,並不會包含傳遞
11/26 01:18, 17F

11/26 01:18, , 18F
的資料。如果想要抓傳遞的資料,可以用 wireshark 或是
11/26 01:18, 18F

11/26 01:18, , 19F
封包分析的軟體看... (有些瀏覽器好像也有看post哪些資
11/26 01:18, 19F

11/26 01:18, , 20F
料的功能?)
11/26 01:18, 20F

11/26 07:48, , 21F
竄(篡)ㄘㄨㄢˋ改
11/26 07:48, 21F
文章代碼(AID): #1KTB1fKO (ask)
文章代碼(AID): #1KTB1fKO (ask)