网络安全基础：传输与存储密码加密及SSL/TLS协议解析

"这篇文档主要讨论了在传输和存储过程中密码未加密的安全问题，并介绍了SSL/TLS协议在保障通信安全中的作用，同时提到了安全测试的一些基础内容，包括权限管理、加密机制、攻击类型以及安全测试工具的使用。" 在网络安全领域，密码的加密对于保护用户信息至关重要。在传输中，如果没有加密，密码可能会被嗅探，导致敏感信息泄露。SSL/TLS协议用于在HTTP和TCP层之间建立加密通道，确保用户和服务器间的通信安全。当访问SSL站点时，浏览器显示警告信息并把URL从http变为https，表明正在使用安全连接。服务器向客户端发送证书，客户端通过验证证书（由公共CA签名）和服务器的IP地址来确认服务器身份。接着，客户端生成会话密钥并加密发送给服务器，服务器解密后，双方使用相同的会话密钥进行后续通信。 在存储时，用户密码应当加密保存，防止数据库被窃取后，数据直接暴露。数据库应独立隔离，并有备份策略，权限管理要严格，确保只有授权人员才能访问。 安全测试主要包括黑盒测试，关注用户管理、权限管理、加密系统和认证系统等方面。测试工具如AppScan、Acunetix Web Vulnerability Scanner和HttpAnalyzer Full等能辅助发现安全漏洞。安全性的弱点往往体现在最薄弱的环节，因此需要全面提升系统的安全性。此外，文中还引用了网络安全层次模型，强调访问控制、数据机密性、完整性、用户认证、防抵赖和安全审计等关键安全目标。 常见的安全威胁包括缓冲区溢出、SQL注入、异常处理信息泄露、端口扫描、服务器攻击、跨站脚本攻击、HTTP回车换行注入、代码注入、URL重定向和Google攻击等。这些都需要在设计和测试阶段予以重视，确保输入数据的有效控制，防止恶意攻击。 安全测试内容还包括对权限的管理，比如防止非法文件上传和写入，以及防止目录遍历等攻击。加密机制不仅应用于网络传输和本地cookie，也涉及源文件、认证和会话管理。理解这些基本概念和实践是确保系统安全的关键步骤。