用户登录是系统中最重要的功能之一，登录成功就能拥有系统的相关使用权限。所以设计一个安全的登录流程是十分必要的。保护用户账号不被黑客窃取，既是在保护用户的基本利益，更是在保护网站的信誉和业务发展。
流程安全性
安全的登录流程必须使用 HTTPS 协议。HTTPS 协议具有较高的安全性，可以保证数据传输过程的安全。虽然有 fiddler 等代理方式可以截取数据，但一般情况下没有用户的配合也无法截取。HTTPS 证书可以在阿里云申请，个人站点可以直接用免费版，非常方便。nginx 和 Spring Boot 的配置也非常简单。
登录一定要有人机验证机制，可以防止黑客以暴力破解的方式尝试登录。通常可以用图片验证码，并且图片要加干扰线，使用不同的字体、大小写提高识别难度。目前有打码平台和 AI 方式可以识别图片验证码，但是成本比较高。一些大型网站已经在使用新的验证方式，比如拖动鼠标移动滑块或者把一个倾斜的图片扶正，攻击的难度还是比较高的。
一定要注意防范 XSS、CSRF 攻击。攻击者通过在目标网站上注入恶意脚本，可以在其他用户的浏览器上运行脚本。利用这些恶意脚本，攻击者可获取用户的敏感信息。用户提交的任何数据都要保持怀疑态度，不能完全信任，该过滤就过滤，该拦截就拦截。国内大型网站，比如淘宝也存在过 CSRF 漏洞，可见大家对这种攻击形式还比较陌生。
后台登录代码要注意防范 SQL 注入攻击。如果黑客提交 passWORD or 1 = 1 而后台没做 SQL 防注入，只是查询下数据是否存在，有可能就攻击成功了。所以 or 1 = 1 有个响亮的名字，叫万能密码。恐怕大家在做大学作业的时候，都有这个漏洞吧。
登录成功后，返回的 cookie 要设置 httponly、secure，这样就无法通过 js 脚本获取 cookie，可以防止跨站攻击，增加爬虫程序的难度。cookie 有效期根据业务需求决定，尽量短一些。曾经我也做过爬虫，爬网银的时候就处理过很多这样的 cookie，比普通 cookie 复杂很多。
如果使用手机短信登录，一定要控制验证码的时效性，即验证码一次有效 5 分钟，一分钟内只能发送一次。有必要时可以单点登录，其他设备登录后，本设备自动失效。也可以使用第三方授权登录接口，如微信登录等，优化用户登录体验，安全性更好。
密码安全性
尽量提升密码强度。一般来说，长度要 8 位以上，必须同时包含数字、小写字母、大写字母，建议用户使用特殊字符。
重置密码，最好通过邮箱发送一定时间内有效的重置链接，或者手机短信验证码，甚至两者相结合的方法。安全要求特别高的场景，比如股票交易软件，有的设计了一个单独的动态密码 APP，通过算法比对动态密码。密码保护问题在今天隐私满天飞的时代背景下，可能已经不那么安全了。
用户名密码错误提示含糊一些。无论是用户名还是密码错误，统一提示“用户名或密码错误”，不要给用户明确的提示。这样会在一定程度上让忘记用户名的用户难以登录，可以辅助一个用户名找回机制或允许使用邮箱、手机号进行登录。
不要在浏览器中明文保存用户名、密码，md5 加密也不行。如果要自动登录，可以保存 RSA 加密后的密文，通过 cookie 提交密文进行解析来自动登录。md5 或者 md5(md5) 在今天已经不安全了，黑客的彩虹表可能已经覆盖了大多数数据了。
保护好用户
密码落库必须加密。CSDN当年使用明文存储密码导致被脱裤后完全公开了用户密码，给用户和网站带来了极大的风险。基于彩虹表能够很方便地破解 md5、sha1 等古老算法的密文，建议至少使用 sha256 及以后的算法，并且加密过程加盐。盐的长度最好也要在 64 位以上。如果条件允许，给每个用户设计一个独有的盐值，将极大提升安全性。
数据库要保留用户的历史密码，修改密码时，不能和前几次一样。如果黑客掌握了某个历史密码，也可能在用户改回后恰好就对上了。参考 Google 账号登录，修改密码和 6 个月前的一样都是不行的。
保留用户的登录记录。时间、ip 都需要。如果本次 ip 和以前的有较大的差别，可以通过邮箱、短信、站内信等向用户提示，建议用户修改密码。用户长时间没有登录，后续再登录的时候最好强制修改密码，并且和历史密码不重复。
短时间内登录失败，要锁定用户。比如失败 5 次可以锁定 1 小时，再次失败锁定 8 小时，又失败锁定 24 小时。锁定后，用户可以通过注册邮箱或手机短信实现解锁，但一天内也要限制解锁次数。
即使在用户登录后，进行重要操作的时候，也要求用户重新输入一次密码。比如修改密码、修改绑定邮箱、修改密码保护问题、有消费行为等，可以防止用户被 XSS 攻击后黑客修改重要数据。
总结
本文梳理了设计登录流程需要考虑的一些关键点。世界上没有绝对安全的系统，有价值的网站和应用都是黑客攻击的重点对象。工作中务必重视安全问题，发现漏洞及时修复。也要考虑网站数据的重要程度，采取合适的防护措施。
怎样更好防止黑客入侵？
防黑客需要好多方面的知识 ，简单更本不能说的很全面 找了篇文章看对你有没帮助！步骤一，一定要把Guest帐号禁用。 有很多入侵都是通过这个帐号进一步获得管理员密码或者权限的。 如果不想把自己的计算机给别人当玩具，那还是禁止的好。 打开控制面板，双击“用户和密码”，选择“高级”选项卡。 单击“高级”按钮，弹出本地用户和组窗口。 在Guest帐号上面点击右键，选择属性，在“常规”页中选中“帐户已停用”。 步骤二，停止共享。 系统安装好之后，系统会创建一些隐藏的共享。 点击开始→运行→cmd，然后在命令行方式下键入命令“net share”就可以查看它们。 网上有很多关于IPC入侵的文章，都利用了默认共享连接。 要禁止这些共享，打开管理工具→计算机管理→共享文件夹→共享，在相应的共享文件夹上按右键，点“停止共享”就行了。 步骤三，尽量关闭不必要的服务，如Terminal Services、IIS（如果你没有用自己的机器作Web服务器的话）、RAS（远程访问服务）等。 还有一个挺烦人的Messenger服务也要关掉，否则总有人用消息服务发来网络广告。 打开管理工具→计算机管理→服务和应用程序→服务，看见没用的就关掉。 步骤四，禁止建立空连接。 在默认的情况下，任何用户都可以通过空连接连上服务器，枚举帐号并猜测密码。 我们必须禁止建立空连接，方法有以下两种： (1)修改注册表： HKEY_Local_MachineSystemCurrent-ControlSetControlLSA下，将DWORD值RestrictAnonymous的键值改成1。 (2)修改Windows 2000的本地安全策略： 设置“本地安全策略→本地策略→选项”中的RestrictAnonymous（匿名连接的额外限制）为“不容许枚举SAM账号和共享”。 步骤五，如果开放了Web服务，还需要对IIS服务进行安全配置： (1) 更改Web服务主目录。 右键单击“默认Web站点→属性→主目录→本地路径”，将“本地路径”指向其他目录。 (2) 删除原默认安装的Inetpub目录。 ?(3) 删除以下虚拟目录: _vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。 (4) 删除不必要的IIS扩展名映射。 方法是：右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。 如不用到其他映射，只保留、即可。 (5) 备份IIS配置。 可使用IIS的备份功能，将设定好的IIS配置全部备份下来，这样就可以随时恢复IIS的安全配置。 不要以为这样就万事大吉，微软的操作系统我们又不是不知道，bug何其多，所以一定要把微软的补丁打全。
网上银行如何防止黑客入侵？
1.首选应在自己家的、自己单位比较可靠的电脑终端登录。2.其次一定要先安装安全控件.3.电子钥匙一定要用好.4.系统要及时升级,及时的杀毒.保持防护实时监控.5.垃圾网站不要进.
怎样防止黑客侵入电脑?
当黑客入侵一台主机后，会想方设法保护自己的“劳动成果”，因此会在电脑上留下种种后门来长时间得控制这台电脑,其中使用最多的就是账户隐藏技术。在电脑上建立一个隐藏的账户，以备需要的时候使用。账户隐藏技术可谓是最隐蔽的后门，一般用户很难发现系统中隐藏账户的存在，因此危害性很大，本文就对隐藏账户这种黑客常用的技术进行揭密。在隐藏系统账户之前，我们有必要先来了解一下如何才能查看系统中已经存在的账户。 在系统中可以进入“命令提示符”，控制面板的“计算机管理”，“注册表”中对存在的账户进行查看，而管理员一般只在“命令提示符”和“计算机管理”中检查是否有异常，因此如何让系统账户在这两者中隐藏将是本文的重点。
一、“命令提示符”中的阴谋
其实，制作系统隐藏账户并不是十分高深的技术，利用我们平时经常用到的“命令提示符”就可以制作一个简单的隐藏账户。
点击“开始”→“运行”，输入“CMD”运行“命令提示符”，输入“net user piao$ /add”，回车，成功后会显示“命令成功完成”。 接着输入“net localgroup administrators piao$ /add”回车，这样我们就利用“命令提示符”成功得建立了一个用户名为“piao$”，密码为“”的简单“隐藏账户”,并且把该隐藏账户提升为了管理员权限。
我们来看看隐藏账户的建立是否成功。 在“命令提示符”中输入查看系统账户的命令“net user”，回车后会显示当前系统中存在的账户。 从返回的结果中我们可以看到刚才我们建立的“piao$”这个账户并不存在。 接着让我们进入控制面板的“管理工具”，打开其中的“计算机”，查看其中的“本地用户和组”，在“用户”一项中，我们建立的隐藏账户“piao$”暴露无疑。
可以总结得出的结论是：这种方法只能将账户在“命令提示符”中进行隐藏，而对于“计算机管理”则无能为力。 因此这种隐藏账户的方法并不是很实用，只对那些粗心的管理员有效，是一种入门级的系统账户隐藏技术。
二、在“注册表”中玩转账户隐藏
从上文中我们可以看到用命令提示符隐藏账户的方法缺点很明显，很容易暴露自己。 那么有没有可以在“命令提示符”和“计算机管理”中同时隐藏账户的技术呢？答案是肯定的，而这一切只需要我们在“注册表”中进行一番小小的设置，就可以让系统账户在两者中完全蒸发。
1、给管理员注册表操作权限
在注册表中对系统账户的键值进行操作，需要到“HKEY_LOCAL_MACHINE\SAM\SAM”处进行修改，但是当我们来到该处时，会发现无法展开该处所在的键值。 这是因为系统默认对系统管理员给予“写入D AC”和“读取控制”权限，没有给予修改权限，因此我们没有办法对“SAM”项下的键值进行查看和修改。 不过我们可以借助系统中另一个“注册表编辑器”给管理员赋予修改权限。
点击“开始”→“运行”，输入“”后回车，随后会弹出另一个“注册表编辑器”，和我们平时使用的“注册表编辑器”不同的是它可以修改系统账户操作注册表时的权限（为便于理解，以下简称）。 在中来到“HKEY_LOCAL_MACHINE\SAM\SAM”处，点击“安全”菜单→“权限”，在弹出的“SAM的权限”编辑窗口中选中“administrators”账户，在下方的权限设置处勾选“完全控制”，完成后点击“确定”即可。 然后我们切换回“注册表编辑器”，可以发现“HKEY_LOCAL_MACHINE\SAM\SAM”下面的键值都可以展开了。
提示：上文中提到的方法只适用于Windows NT/2000系统。 在Windows XP系统中，对于权限的操作可以直接在注册表中进行，方法为选中需要设置权限的项，点击右键，选择“权限”即可。
2、将隐藏账户替换为管理员
成功得到注册表操作权限后，我们就可以正式开始隐藏账户的制作了。 来到注册表编辑器的“HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names”处，当前系统中所有存在的账户都会在这里显示，当然包括我们的隐藏账户。 点击我们的隐藏账户“piao$”，在右边显示的键值中的“类型”一项显示为0x3e9，向上来到“HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\”处，可以找到“E9”这一项，这两者是相互对应的，隐藏账户“piao$”的所有信息都在“E9”这一项中。 同样的，我们可以找到“administrator”账户所对应的项为“F4”。
将“piao$”的键值导出为piao$，同时将“E9”和“F4”项的F键值分别导出为，。 用“记事本”打开，将其中“F”值后面的内容复制下来，替换中的“F”值内容，完成后保存。 接下来进入“命令提示符”，输入“net user piao$ /del”将我们建立的隐藏账户删除。 最后，将piao$和导入注册表，至此，隐藏账户制作完成。
3、切断删除隐藏账户的途径
虽然我们的隐藏账户已经在“命令提示符”和“计算机管理”中隐藏了，但是有经验的系统管理员仍可能通过注册表编辑器删除我们的隐藏账户，那么如何才能让我们的隐藏账户坚如磐石呢？
打开“”，来到“HKEY_LOCAL_MACHINE\SAM\SAM”处，设置“SAM”项的权限，将“administrators”所拥有的权限全部取消即可。 当真正的管理员想对“HKEY_LOCAL_MACHINE\SAM\SAM”下面的项进行操作的时候将会发生错误，而且无法通过“”再次赋予权限。 这样没有经验的管理员即使发现了系统中的隐藏账户，也是无可奈何的。
三、把“隐藏账户”请出系统
隐藏账户的危害可谓十分巨大。 因此我们有必要在了解了账户隐藏技术后，再对相应的防范技术作一个了解，把隐藏账户彻底请出系统。
1、添加“$”符号型隐藏账户
对于这类隐藏账户的检测比较简单。 一般黑客在利用这种方法建立完隐藏账户后，会把隐藏账户提升为管理员权限。 那么我们只需要在“命令提示符”中输入“net localgroup administrators”就可以让所有的隐藏账户现形。 如果嫌麻烦，可以直接打开“计算机管理”进行查看，添加“$”符号的账户是无法在这里隐藏的。
2、修改注册表型隐藏账户
由于使用这种方法隐藏的账户是不会在“命令提示符”和“计算机管理”中看到的，因此可以到注册表中删除隐藏账户。 来到“HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names”，把这里存在的账户和“计算机管理”中存在的账户进行比较，多出来的账户就是隐藏账户了。 想要删除它也很简单，直接删除以隐藏账户命名的项即可。
3、无法看到名称的隐藏账户
如果黑客制作了一个修改注册表型隐藏账户，在此基础上删除了管理员对注册表的操作权限。 那么管理员是无法通过注册表删除隐藏账户的，甚至无法知道黑客建立的隐藏账户名称。 不过世事没有绝对，我们可以借助“组策略”的帮助，让黑客无法通过隐藏账户登陆。 点击“开始”→“运行”，输入“”运行“组策略”，依次展开“计算机配置”→“Windows 设置”→“安全设置”→“本地策略”→“审核策略”，双击右边的“审核策略更改”，在弹出的设置窗口中勾选“成功”，然后点“确定”。 对“审核登陆事件”和“审核过程追踪”进行相同的设置。
4、开启登陆事件审核功能
进行登陆审核后，可以对任何账户的登陆操作进行记录，包括隐藏账户，这样我们就可以通过“计算机管理”中的“事件查看器”准确得知隐藏账户的名称，甚至黑客登陆的时间。 即使黑客将所有的登陆日志删除，系统还会记录是哪个账户删除了系统日志，这样黑客的隐藏账户就暴露无疑了。
5、通过事件查看器找到隐藏帐户
得知隐藏账户的名称后就好办了，但是我们仍然不能删除这个隐藏账户，因为我们没有权限。 但是我们可以在“命令提示符”中输入“net user 隐藏账户名称 ”更改这个隐藏账户的密码。 这样这个隐藏账户就会失效，黑客无法再用这个隐藏账户登陆。
发表评论