Web程序的防御機制有以下這些：
身份驗證機制，現在絕大部分的 WEB 程序都采用原始的驗證方式，即用戶名和密碼驗證，服務器驗證通過，即登陸成功，走向會話管理和訪問控制環節。一 些安全性比較高的 WEB 程序，可能可能還會加入證書、Token 等驗證方式。原始的用戶名、密碼驗證機制存在很多問題，如可以獲取用戶名信息、可以推測密 碼、可以通過程序漏洞繞過認證。如果 WEB 程序存在 sql 注入漏洞，hacker 就可以繞過密碼認證。
訪問控制，根據既定的規則來決定允許或者拒絕用戶的請求。如果前面的權限認證機制正常工作，服務器就可以從用戶發送的請求 中確認用戶的身份，從而根據用戶的權限來決定是否授權用戶的請求動作。由于訪問控制的要求很復雜，場景很多，因此這一階段的安全漏洞也很多，但是滲透測試 時，也許需要大量重復性的工作，才會發現這樣的漏洞。
拒絕已知的非法輸入，一般是采用黑名單的方法，黑名單中包括在攻擊中使用的一直的字符串或者字符。這種方法效果不明顯，首先是惡意的字符串或者代碼可能會經過各種格式編碼，再次是攻擊技術在不斷的發展，總會有一些字符串過濾不到（防御總是落后于攻擊就是這個道理）。
只接受已知的正常輸入，即設置白名單。白名單雖然確實有效，但是許多情況下不滿足我們的需求。
凈化，這種方法是指WEB程序接收用戶的輸入，然后在后臺對用戶的輸入進行凈化。數據中可能存在的惡意字符被刪除或者進行編碼、轉義。這種方法一般很有效，也被廣泛使用。
回答所涉及的環境：聯想天逸510S、Windows 10。
Web程序的防御機制有以下這些：
身份驗證機制，現在絕大部分的 WEB 程序都采用原始的驗證方式，即用戶名和密碼驗證，服務器驗證通過，即登陸成功，走向會話管理和訪問控制環節。一 些安全性比較高的 WEB 程序，可能可能還會加入證書、Token 等驗證方式。原始的用戶名、密碼驗證機制存在很多問題，如可以獲取用戶名信息、可以推測密 碼、可以通過程序漏洞繞過認證。如果 WEB 程序存在 sql 注入漏洞，hacker 就可以繞過密碼認證。
訪問控制，根據既定的規則來決定允許或者拒絕用戶的請求。如果前面的權限認證機制正常工作，服務器就可以從用戶發送的請求 中確認用戶的身份，從而根據用戶的權限來決定是否授權用戶的請求動作。由于訪問控制的要求很復雜，場景很多，因此這一階段的安全漏洞也很多，但是滲透測試 時，也許需要大量重復性的工作，才會發現這樣的漏洞。
拒絕已知的非法輸入，一般是采用黑名單的方法，黑名單中包括在攻擊中使用的一直的字符串或者字符。這種方法效果不明顯，首先是惡意的字符串或者代碼可能會經過各種格式編碼，再次是攻擊技術在不斷的發展，總會有一些字符串過濾不到（防御總是落后于攻擊就是這個道理）。
只接受已知的正常輸入，即設置白名單。白名單雖然確實有效，但是許多情況下不滿足我們的需求。
凈化，這種方法是指WEB程序接收用戶的輸入，然后在后臺對用戶的輸入進行凈化。數據中可能存在的惡意字符被刪除或者進行編碼、轉義。這種方法一般很有效，也被廣泛使用。
回答所涉及的環境：聯想天逸510S、Windows 10。